安全审计系统是定位“合规缺口”和“配置偏移”的探测器，需将合规条款（如GDPR第32条）拆解为可验证技术状态，通过可执行规则、实时配置采集、偏移阈值告警及日志反推策略失效，生成带资源、影响、时间、修复路径的上下文报告。
安全审计系统不是用来“查错”的工具，而是用来定位“合规缺口”和“配置偏移”的探测器。真正有效的识别，不靠逐条比对文档，而靠建立可执行的合规映射、持续采集真实配置、并设定可触发的偏移阈值。
把合规条款转成可运行的检查规则
GDPR第32条要求“采取适当技术与组织措施保障数据安全”，这句话本身无法直接审计。必须拆解为具体动作：
- 是否对存储中的个人身份信息（PII）启用静态加密？→ 检查数据库字段加密开关、S3桶服务端加密策略、SharePoint敏感标签是否绑定加密策略
- 是否限制非必要人员访问PII？→ 校验AD组成员列表、DLP策略中“仅允许HR部门访问员工档案”规则是否生效、Purview分类标签的权限继承链是否被绕过
- 是否有日志记录所有PII访问行为？→ 验证统一审计日志中FileAccessed、MailItemsAccessed等事件是否开启，且保留周期≥180天
每一条合规要求，都应对应一个或多个可验证的技术状态。微软SC-400、ISO27001附录A条款、PCI DSS控制项，都可以用PowerShell脚本、Kusto查询、Terraform检查点来落地。例如，用Checkov扫描IaC模板是否遗漏s3_server_side_encryption_enabled，就是把PCI DSS 3.4条款具象化。
捕获真实配置快照，而非依赖人工填报
很多审计失败源于“系统说它合规”，但实际配置早已偏移。比如管理员手动修改了Azure AD条件访问策略，却未同步更新合规门户里的策略文档；或某台测试服务器关闭了TLS 1.2，但CMDB里仍标记为“符合HIPAA传输加密要求”。
- 定期从生产环境主动拉取配置：用Azure CLI获取Key Vault访问策略、用Graph API读取Exchange Online DLP策略、用boto3 list_buckets并检查EncryptionConfiguration
- 对比基线版本：将当前配置哈希值与CI/CD流水线中通过的最后一个合规版本做diff，自动标出新增、删除、变更项
- 标记“高风险偏移”：如禁用MFA、开放0.0.0.0/0安全组、删除审计日志保留策略——这类变更应立即告警，不等待周期性扫描
用行为日志反推策略失效点
有时配置没变，但策略已失效。比如DLP策略设置了“禁止外发含身份证号的邮件”，但审计日志显示仍有大量MailSent事件携带匹配内容。这说明策略未命中，原因可能是：
- 敏感信息类型（SIT）定义过窄，未覆盖港澳台居民证件格式
- 策略作用域未包含该用户邮箱所在的Exchange Online租户分区
- 用户被加入例外组，而该组权限未在审计报告中显式披露
此时需联动分析：从Office 365审计日志中提取MailSent + SensitiveDataDetected事件，再关联Purview策略日志确认匹配结果，最后回溯策略配置页面的生效范围设置。这种“日志→策略→配置”逆向追踪，比单纯检查开关状态更能发现隐性失效。
生成带上下文的合规差距报告
一份有用的差距报告，不能只写“未满足ISO27001 A.9.4.2”，而要说明：
- 在哪类资源上缺失：共12个Azure Storage账户，其中3个未启用Blob版本控制
- 影响哪些数据：这些账户承载HR系统员工薪酬表备份，属“高敏感”等级
- 偏移发生时间：最近一次部署后48小时内，Terraform模块未注入versioning_enabled = true参数
- 修复建议：执行az storage blob service-properties update --account-name xxx --enable-versioning true，并将该参数加入IaC模板校验清单
这样的报告才能推动开发、运维、安全三方快速对齐，而不是陷入“谁该改”的责任争议。
