核心是记录“谁、在什么时间、从哪来、做了什么操作、结果如何”，需启用Windows「审核账户管理」和「审核登录」策略并配置OU级SACL，或Linux用auditd添加useradd/userdel等规则，再通过WEF/rsyslog集中收集、保留180天以上并设置告警。
服务器用户管理审计日志，核心是记录“谁、在什么时间、从哪来、做了什么操作、结果如何”，尤其聚焦于用户账号生命周期（增删改）、权限变更、登录登出等关键行为。它不是简单开启日志，而是要确保日志内容完整、存储可靠、可查可控、能告警。
Windows 服务器：用组策略 + SACL 精准捕获用户操作
Windows 默认不记录具体用户管理动作（如新建域用户、重置密码、加域组），必须主动配置：
- 启用「审核账户管理」策略：通过
gpedit.msc进入「计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审计策略 → 账户管理」，勾选「成功」和「失败」——这会触发事件 ID 4720（创建用户）、4722（启用账户）、4725（禁用账户）、4726（删除用户）、4732（加组）、4733（删组）等。 - 同步启用「审核登录」：确保记录所有登录尝试（事件 ID 4624/4625），关联用户操作上下文。
- 对关键OU或用户容器设置SACL：在AD中右键目标组织单位 → 属性 → 安全 → 高级 → 审核 → 添加「Domain Admins」或「Account Operators」，勾选「写入属性」「更改成员资格」等对应操作的「成功」和「失败」——这样能捕获细粒度变更，比如谁修改了某个用户的邮箱或描述字段。
- 强制刷新策略：
gpupdate /force，否则配置不生效。
Linux 服务器：auditd + rules 实现命令级追踪
Linux 下推荐使用内核级 auditd 服务，比仅依赖 bash history 更可靠、不可绕过：
宝塔Linux面板11.3.0
下载
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
- 确认服务已启用：
systemctl enable --now auditd，并检查磁盘空间（审计日志默认存于/var/log/audit/audit.log，建议单独挂载分区，预留至少20GB）。 - 添加关键规则（编辑
/etc/audit/rules.d/usermanage.rules）：-w /usr/sbin/useradd -p x -k user_mgmt-w /usr/sbin/userdel -p x -k user_mgmt-w /usr/sbin/usermod -p x -k user_mgmt-w /usr/sbin/groupadd -p x -k user_mgmt-w /etc/passwd -p wa -k user_file-w /etc/shadow -p wa -k user_file-a always,exit -F arch=b64 -S execve -F uid!=0 -k sudo_cmd（记录非root执行的敏感命令） - 重载规则：
augenrules --load，然后重启 auditd。 - 验证：执行
sudo useradd testuser，再运行ausearch -k user_mgmt | aureport -i，应看到完整调用链（执行者、终端、命令行参数、时间戳）。
统一收集与可用性保障：不让日志“躺在本地”
单机日志易被删、难检索、无法关联分析，必须集中化：
- Windows：用「事件转发器」（WEF）将安全日志实时推送到 SIEM（如 Splunk、ELK），或通过 nxlog 发送至 syslog 服务器；确保 WinRM 或 HTTP(S) 端口（5985/5986）开放且防火墙放行。
- Linux：rsyslog 或 Filebeat 将 audit.log 或 journal 日志转发；注意 auditd 日志默认不走 rsyslog，需配置
auditd的plugins（如 audispd-plugins）转出，或用ausearch+logger定时提取关键事件。 - 存储策略：安全类日志建议保留至少180天（满足等保2.0、ISO27001基本要求）；启用日志轮转（logrotate）+ 压缩归档，避免单文件过大导致查询卡顿。
实用告警与日常验证：让审计真正“活”起来
日志存在 ≠ 有效。需建立闭环机制：
- 设置基础告警规则：例如「1小时内同一IP连续3次 useradd 失败」→ 触发邮件；「非运维时段（22:00–06:00）有 usermod 操作」→ 钉钉通知；「root 用户执行 userdel」→ 高优先级告警。
- 每月抽检：随机选一个用户操作（如新建账号、修改sudo权限），在SIEM中按时间、用户、事件ID反向检索，确认路径、参数、源IP、结果状态全部可查。
- 权限最小化：审计日志读取权限仅开放给安全团队和合规人员；禁止普通管理员直接访问原始日志文件，防止掩盖痕迹。
