必须启用原生审计服务并精准配置：linux用auditd监控关键文件写入与特权命令执行；windows启用高级审核策略并配置sacl，聚焦特权使用、系统操作和对象访问；数据库（如dm8）对sysdba的ddl操作进行语句级与对象级审计，所有日志需接入告警响应闭环。
防范高权限用户（如Linux的root、Windows的Administrator或数据库的SYSDBA）擅自修改关键系统配置，关键在于启用并精准配置原生审计服务，做到“谁改了、改了什么、何时改、从哪改”四要素可追溯。不依赖第三方工具，靠系统自带能力就能构建有效防线。
Linux：auditd锁定核心配置文件与特权操作
auditd是内核级审计框架，适合监控绕过常规权限控制的高危行为：
- 对/etc/passwd、/etc/shadow、/etc/sudoers等文件添加写入审计规则，例如：
-a always,exit -F path=/etc/sudoers -F perm=w -k sudoers_mod - 监控特权进程执行行为，如systemctl、iptables、modprobe等命令调用：
-a always,exit -F path=/usr/bin/systemctl -F perm=x -k systemctl_exec - 启用规则后运行
sudo augenrules --load && sudo systemctl restart auditd，确保生效 - 日常排查用
ausearch -k sudoers_mod | aureport -i -f快速定位操作人、时间、调用进程
Windows：启用高级审核策略并聚焦特权使用
仅开启“审核登录”或“审核账户管理”远远不够，必须启用细粒度的高级审核策略：
- 打开组策略编辑器（gpedit.msc），进入“计算机配置 → Windows设置 → 安全设置 → 高级审核策略配置”
- 重点启用：特权使用（记录whoami /groups、net user等提权动作）、系统操作（记录服务启停、驱动加载）、对象访问（配合SACL监控注册表键如HKLM\SYSTEM\CurrentControlSet\Services）
- 所有策略项均勾选“成功”和“失败”，避免漏掉静默失败的试探行为
- 事件日志中重点关注ID 4670（权限变更）、4688（进程创建）、4697（计划任务创建）等高危事件
数据库（以DM8为例）：审计SYSDBA对用户与对象的DDL操作
数据库管理员误操作常引发连锁故障，需针对性审计其DDL行为：
- 启用语句级审计：
AUDIT CREATE USER, DROP USER, ALTER USER BY SYSDBA; - 启用对象级审计：
AUDIT ALTER, DROP ON SYSOBJECTS BY SYSDBA;（覆盖表、视图、存储过程等） - 审计日志默认写入
$DM_HOME/log/audit，可通过SELECT * FROM V$AUDIT_RECORDS实时查询 - 建议搭配定时脚本，每日扫描新增审计记录中含
TRUNCATE、DROP COLUMN、ALTER SYSTEM等关键词的操作
统一告警与响应闭环
审计日志本身不是终点，必须接入响应流程：
- Linux下用
auditd触发logger或调用Python脚本，匹配关键词后自动发企业微信/邮件告警 - Windows中通过任务计划程序监听安全日志，事件ID匹配4670或4697时启动PowerShell脚本冻结账户或通知SOC平台
- 所有告警字段必须包含：主机名、时间戳、操作者SID/用户名、源IP、执行命令/SQL语句原文——这是溯源定责的核心依据
