Не про недоверие, а про возможность понять, что произошло.
Не про недоверие, а про возможность понять, что произошло. Что стоит фиксировать. Входы: кто, откуда, когда. Выполненные команды на критичных серверах. Изменения конфигурации. Действия в панелях управления. Как. Централизованный сбор логов с джамп-хоста и серверов. Запись сессий там, где это оправдано. У облачных провайдеров есть свой журнал действий — включите и выгружайте. Что это даёт. При инциденте видно, какое изменение его вызвало, и не надо гадать. При расследовании доступа — доказательная база. При обучении новых сотрудников — реальная история типовых операций. Что важно. Логи должны храниться там, куда сам администратор не может дотянуться для правки. Иначе смысл теряется. И правило: аудит объявляется открыто. Скрытая слежка разрушает доверие и ничего не даёт, а открытый журнал дисциплинирует всех, включая вас. Ведёте журнал административных действий?