每日審閱與複審

這一頁解決什麼

證據留下來之後，要有人定期看。這一頁講四件事後工作：每天簽核一次的安全事件審閱、告警的審閱處置、週期性的存取複審，以及自動盯著新來源位址的告警。最後附一般使用者的自助頁，因為那是同一套紀錄的另一種投影。

每日安全事件審閱

政策鍵「每日審閱簽核」出廠關閉。生效中的政策組若要求開啟，抽屜會顯示該要求。簽核在「操作日誌」頁的「每日簽核」分頁進行，對象是業務時區下已結束的完整一天，從 00:00 到隔日 00:00。業務時區由政策鍵「每日簽核業務時區」設定，變更自下一個日期起生效。一天結束滿 30 分鐘後才開放簽核，讓午夜前後寫入的紀錄先落定；每個所屬日至多一筆簽核。

分頁上方顯示近 30 天、近 90 天或自訂期間的簽核率，以及準時、遲簽與未簽天數；下方依序列出待簽的日子（從最早的一天開始）與簽核紀錄（從最新的開始，可只看遲簽）。

簽核在抽屜裡完成。抽屜列出當日未審閱的告警，以及最早 20 筆登入失敗與高風險操作，並附連到當日操作日誌的連結；每筆紀錄標示原因，例如保留期清除清掉了什麼。當日告警全部審閱後才能簽核，告警可以在抽屜內逐筆或批次審閱。備註選填。

漏簽的日子可以補簽，沒有期限。所屬日的隔天結束前簽核算準時，之後算遲簽：紀錄會標示遲簽天數，並要求填寫延遲理由。簽核時刻由伺服器記錄，與所屬日分開保存。有日子逾準時期限仍未簽時，每天在業務時區 09:00 後經通知通道送出一次提醒，列出未簽的日子，全部簽完即停止。

計數的口徑：登入失敗涵蓋認證類事件的失敗與拒絕兩種狀態，排除例行的憑證到期（那些仍然逐筆留在紀錄裡）。高風險操作是一份白名單：任何資源的刪除；安全政策、syslog 設定與稽核匯出的建立、更新與刪除，以及稽核匯出的下載；帳號的建立與更新。這些設定的讀取與預覽不計入。保留期清除、登入時重算但沒有實際增減的角色或群組映射，以及同一操作寫下的第二筆紀錄，同樣不計入；這些紀錄照常留在操作日誌裡。

主控頁的「每日安全審閱」卡片顯示昨日計數與未簽天數，全部簽完時顯示簽核者與 30 天簽核率；卡片上的按鈕與日期直接開啟該日的簽核抽屜。可簽核的人在側欄的操作日誌項目與分頁上看得到待簽天數，逾期時以紅色標示。非稽核角色的主控頁不顯示這張卡片。

告警審閱處置

在「告警」頁的告警記錄分頁，可以只看未審閱的。按「審閱」選處置分類（誤報或無害、升級處理），可以附說明。處置可以重做，用來修正誤判。審閱者、時間、分類與備註都留在該筆告警上。

告警記錄可選最多 50 筆批次審閱，填共用理由並取得逐筆結果；部分完成後重新查詢。本人觸發的告警不進批次。破窗緊急連線的待補審也可批次確認無誤，違規結論逐筆判定。

週期性存取複審

「存取複審」頁供管理員與稽核角色檢視，簽核限管理員。頁面顯示上次複審距今多久、建議週期是多少天、是否已經逾期，週期值由伺服端提供。

按「發起存取複審」時，介面說明這個動作會快照當下完整的存取矩陣作為不可變的證據，並記一筆簽核（複審者、時間、結論）。結論欄填寫這次檢視的結果，例如逐一檢視無異常，或列出調整項。

歷史清單列出每一次複審的複審者、時間、授權筆數與結論，點「檢視快照」可以看到當時的授權矩陣：授權識別、主體、客體、範圍。快照損壞時系統回明確的錯誤，不會給一份看起來正常的空內容。

新來源位址告警

帳號第一次從某個位址建立協議連線時，系統產生一筆中等嚴重度的告警。基準是帳號與位址這一組，之後再從同一個位址連就不再重複告警。基準的轉態與告警在同一筆交易內寫入，通知在交易提交之後才送。

這類告警不掛任何規則，所以不會因為停用某條規則而消失。告警列上的位址是連結，一鍵以該位址為樞紐進入調查工作台，時間窗是告警當日、類別為全部。

網頁登入自新位址是另一種處理：留一筆稽核紀錄並把位址納入基準，但不產生告警、不推播。這組基準不納入任何保留政策的清除範圍。

我的連線

一般使用者有一個「我的連線」自助頁，看得到自己連了什麼：資產名稱、協議、連線時間、時長、狀態。進行中的連線可以自己終止，終止會二次確認，並在紀錄裡標明結束原因是使用者自行終止。

這一頁是白名單式的精簡投影，不含指令、錄影、憑證、來源位址與目標主機位址，也沒有任何指令檢視或錄影播放的入口。終止的權限判定只認擁有者本人，別人的連線一律查無此筆。

稽核看得到什麼

每日審閱的簽核留紀錄，保存所屬日、簽核時刻、時區、當時的計數快照、備註，遲簽另記天數與延遲理由。
證據包附 daily_reviews.csv，逐日列出期間內啟用每日審閱的日子，包含未簽與尚未到期的日子。
告警的審閱處置留紀錄，含處置分類。
存取複審的簽核留紀錄，快照本身不可變。
新來源位址的告警綁該場會話、使用者與資產，位址由所屬會話承載。
使用者自助終止連線留紀錄，操作者記為本人。