堡垒机实时审计的核心是构建不可绕过、协议级介入、全链路覆盖的代理机制，需确保会话经中转、流量被解析复制、审计数据独立防篡改，并强制所有运维操作纳入管控。
通过堡垒机实现所有运维操作的实时审计与录像，核心不是“加个功能开关”，而是构建一套不可绕过、协议级介入、全链路覆盖的代理机制。它依赖于三个基础环节：会话必须经由堡垒机中转、所有协议流量必须被解析与复制、审计数据必须独立存储且防篡改。
会话必须走代理通道，杜绝直连
这是前提。如果运维人员还能绕过堡垒机直接 SSH 或 RDP 到服务器，那任何审计都是摆设。实际部署中需做到：
- 目标服务器防火墙策略仅允许堡垒机 IP 访问管理端口（如 22/3389）
- 禁用服务器本地 root 或管理员账号密码登录，改用密钥且私钥由堡垒机托管
- 对开发、测试等非运维角色，限制其只能通过 Web 终端访问，禁用原生客户端连接
协议代理层同步捕获双向流量
堡垒机不是简单转发数据，而是在 SSH/RDP/数据库等协议会话建立后，对通道内所有字节流进行镜像复制：
- SSH 场景下，使用
io.MultiWriter同时写入目标会话和审计日志文件（含命令行输入、标准输出、错误输出） - RDP 使用图像帧截取+键盘鼠标事件捕获，生成可播放的 .asx 或 Web 格式录像
- 数据库操作则解析 SQL 协议包，记录完整语句、执行用户、影响行数、返回结果（脱敏后）
- 所有录像和日志打上精确到毫秒的时间戳，并绑定会话 ID、用户 ID、资产 IP、协议类型
审计数据独立落盘 + 动态留存策略
录像和日志不能只存在堡垒机本地磁盘，否则机器宕机或被入侵就丢失证据。2026 年主流实践是：
- 原始审计数据切分为带哈希签名的“审计片段”，按价值等级分级存储（如高危操作永久保留，普通命令保留 180 天）
- 对接 SIEM 系统实时推送告警事件，同时异步上传至对象存储（如 S3 兼容服务），启用 WORM（一次写入多次读取）模式
- 采用动态留存控制技术——当关联外部事件（如漏洞通报、离职流程触发）时，自动冻结对应时段录像，防止被误删或覆盖
不复杂但容易忽略的是：审计有效性取决于“是否强制经过”。只要有一台服务器没纳管、一个账号没走堡垒机、一种协议（比如 Redis CLI 直连）没被代理，整条审计链条就存在断点。真正的实时审计，本质是让违规操作在发生前就被阻断，而不是事后靠录像找人。
