离线审计是通过构建可信基线快照实现主动防御，覆盖windows/linux配置固化、高危篡改面监控、自动化语义比对及关联上下文分析，确保高级别篡改可定位、可溯源、可还原。
离线审计不是“等出事再翻日志”，而是提前把系统配置固化为可比对的基线快照，让任何高级别篡改——无论是绕过登录、提权后修改策略，还是通过服务注入篡改注册表或组策略——都能被精准定位、时间可溯、行为可还原。
一、构建可信离线基线：从源头锁定“该是什么”
离线审计的前提是有一份权威、完整、不可篡改的初始配置快照。它不是截图或手工记录，而是由系统自身导出的结构化数据：
- Windows：用
secedit /export /cfg baseline.inf导出本地安全策略；用Get-GPOReport -All -Path "gpo_baseline.xml" -ReportType Xml导出全部组策略对象；用reg export HKLM\SYSTEM\CurrentControlSet\Services\ policy_reg.reg导出关键服务启动项与权限键值 - Linux：用
rpm -Va > rpm_baseline.log校验所有已安装包完整性；用find /etc -type f -exec md5sum {} \; > etc_md5_baseline.txt生成配置文件哈希清单；用getsebool -a > selinux_baseline.conf固化SELinux策略状态 - 关键动作：基线文件生成后立即计算SHA256并存档至隔离存储（如只读USB设备或气隙备份服务器），禁止在目标系统上保留写入权限
二、聚焦高危篡改面：盯紧“谁动了什么”
高级别攻击者常避开日志记录路径，直接操作底层配置。离线审计需重点覆盖以下四类易被静默篡改的客体：
-
启动项与服务配置：检查
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run、/etc/rc.local、systemd服务单元文件，比对是否新增非签名二进制路径或伪装成合法服务的恶意加载项 -
ACL与SDDL变更：导出关键目录（如
C:\Windows\System32、/etc）的完整SDDL字符串，比对OWNER、GROUP、D:(A;;GA;;;BA)等字段是否被放宽或替换为未知SID -
认证机制钩子：检查Windows的
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Authentication Packages是否插入非标准DLL；检查Linux的/etc/pam.d/common-auth是否添加异常auth [success=done default=ignore]规则 -
审计策略开关：确认
auditpol /get /category *输出中“进程创建”“对象访问”“特权使用”等类别是否仍为“成功和失败”双启用——关闭即为典型擦除痕迹动作
三、自动化比对与异常标记：让差异“自己说话”
人工逐行核对基线不现实。应建立轻量级比对脚本，聚焦语义级差异而非字面差异：
- 对注册表导出文件，忽略时间戳、空行、注释行，提取
DWORD/REG_SZ键值对哈希后比对；发现EnableLUA从0x1变为0x0即标记“UAC禁用”风险 - 对
rpm -Va结果，过滤S（大小变更）、T（时间戳变更）、5（MD5校验失败）三类标志，自动聚合为“高危文件列表”，例如/bin/ls出现S.5....T说明二进制被替换且时间被回拨 - 对组策略XML报告，用XPath定位
//Enabled[@value="false"]节点，若ProcessCreation策略被设为false，直接触发“审计关闭”告警
四、关联时段与上下文：识别“为什么现在改”
单点配置变更未必危险，但结合非工作时段、账号异常生命周期、终端基线偏移，就构成强风险信号：
- 将离线比对发现的变更时间（取自文件mtime或注册表最后写入时间）映射到组织排班表，若
auditpol策略在凌晨2:17被关闭，而该管理员当日无排班，即进入高优先级核查队列 - 检查变更涉及账户是否为近期新建（
net user username /domain | findstr "Created"）、是否属临时外包角色、是否已触发离职流程但未禁用——这类账号的配置修改默认视为可疑 - 比对变更终端的历史行为基线：若某台办公机过去30天从未修改过
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender，却在某次远程会话后新增DisableRealtimeMonitoring键，则判定为定向规避行为
不复杂但容易忽略：离线审计的价值不在“查得全”，而在“比得准、判得清、追得回”。它把防御重心从被动响应前移到篡改发生的瞬间，让每一次高级别配置变更都留下无法抵赖的数字指纹。
