服务器访问日志审计是配置、验证、查看和分析一套可追溯的操作行为记录机制，核心是让每一次关键访问（谁、何时、从哪来、做了什么、结果如何）留下不可抵赖的痕迹，涵盖Windows SMB、Linux auditd及Nginx Web访问的差异化配置与实操验证。
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
一、明确审计目标和范围
先想清楚你要管什么：是所有共享文件？特定数据库表？还是某个Web接口？目标不清晰，规则就会泛滥或遗漏。
常见聚焦点包括：
• 敏感目录（如财务报表、用户证件扫描件存放路径）
• 高权限操作（删除、改权限、导出数据）
• 外部访问入口（如Web管理后台、API网关）
• 特定用户组（如管理员、外包账号、离职过渡期账户）
二、按系统类型配置采集规则
Windows 文件共享（SMB）：
• 启用高级审核策略：组策略中开启「对象访问 → 文件系统」的成功/失败审计
• 为文件夹设SACL：右键属性 → 安全 → 高级 → 审核 → 添加Everyone或指定组，勾选“读取数据”“写入数据”“删除”等动作，并勾选“替换所有子对象”
• 日志在事件查看器 → Windows日志 → 安全，重点看事件ID 4663（具体文件操作）和 5145（网络共享访问，含IP和共享名）
Linux 文件系统（auditd）：
• 编写永久规则（别用临时命令）：在 /etc/audit/rules.d/ 下新建文件，例如：
-w /data/finance -p rwxa -k finance_access
• 加载规则：sudo augenrules --load
• 日志默认存于 /var/log/audit/audit.log，用 ausearch -k finance_access 查指定关键词
Nginx Web访问：
• 自定义 log_format，必须包含真实IP（配合 set_real_ip_from 和 real_ip_header）、时间戳、请求方法+URI、状态码、耗时、User-Agent：
log_format audit '$time_iso8601|$remote_addr|$http_x_forwarded_for|$request_method $request_uri|$status|$request_time|$http_user_agent';
• 在 server 块中启用：access_log /var/log/nginx/audit.log audit;
三、确保日志可用、可信、可持续
配置完不等于能用，还要检查三件事：
• 权限与路径：日志目录属主是否为服务进程（如 nginx、auditd），是否有写权限
• 轮转与保留：用 logrotate 或 auditd.conf 中的 max_log_file 控制大小，避免撑爆磁盘；合规通常要求保留6个月以上
• 防篡改：日志文件权限设为 640，仅允许审计账号读取；生产环境建议将日志实时转发到独立日志服务器或SIEM平台
四、日常怎么查、怎么用
审计不是摆设，得能快速响应：
• 查某人某天操作：Windows 用事件查看器筛选“用户名+时间范围+事件ID 4663”；Linux 用 ausearch -ui username -ts yesterday
• 查异常高频访问：Nginx 日志里统计1分钟内404超30次的IP：
awk -v d="$(date -d '1 minute ago' +'%d/%b/%Y:%H:%M')"' '$4 > "["d {print $2}' /var/log/nginx/audit.log | sort | uniq -c | sort -nr
• 查敏感操作是否留痕：模拟一次“删除文件”或“导出数据”，立刻查对应日志是否存在，字段是否完整（尤其IP、时间、操作类型、结果）
