每日審閱與複審

這一頁解決什麼

證據留下來之後，要有人定期看。這一頁講四件事後工作：每天簽核一次的安全事件審閱、告警的審閱處置、週期性的存取複審，以及自動盯著新來源位址的告警。最後附一般使用者的自助頁，因為那是同一套紀錄的另一種投影。

政策鍵「每日審閱簽核」出廠關閉。生效中的政策組若要求開啟，抽屜會顯示該要求。打開之後，具稽核檢視權限的人在主控頁會看到一張「每日安全審閱」卡片，顯示當日的三格計數：登入失敗、未審閱告警、高風險操作。

確認過計數之後填備註（選填）並按「簽核今日審閱」。每天至多一筆，已簽核的卡片顯示簽核者、時間與備註。昨天沒簽的話，隔天早上會經通知通道送出提醒。

計數的口徑：登入失敗涵蓋認證類事件的失敗與拒絕兩種狀態，排除例行的憑證到期（那些仍然逐筆留在紀錄裡）。高風險操作是一份白名單：任何資源的刪除、安全政策與日誌轉發與匯出的寫入、帳號的建立與更新。

非稽核角色的主控頁不顯示這張卡片。

主控頁的每日審閱卡片可進入「操作日誌」的每日審閱分頁，查看歷次簽核、簽核者、時間、備註與當時的計數快照。

在「告警」頁的告警記錄分頁，可以只看未審閱的。按「審閱」選處置分類（誤報或無害、升級處理），可以附說明。處置可以重做，用來修正誤判。審閱者、時間、分類與備註都留在該筆告警上。

告警記錄可選最多 50 筆批次審閱，填共用理由並取得逐筆結果；部分完成後重新查詢。本人觸發的告警不進批次。破窗緊急連線的待補審也可批次確認無誤，違規結論逐筆判定。

「存取複審」頁供管理員與稽核角色檢視，簽核限管理員。頁面顯示上次複審距今多久、建議週期是多少天、是否已經逾期，週期值由伺服端提供。

按「發起存取複審」時，介面說明這個動作會快照當下完整的存取矩陣作為不可變的證據，並記一筆簽核（複審者、時間、結論）。結論欄填寫這次檢視的結果，例如逐一檢視無異常，或列出調整項。

歷史清單列出每一次複審的複審者、時間、授權筆數與結論，點「檢視快照」可以看到當時的授權矩陣：授權識別、主體、客體、範圍。快照損壞時系統回明確的錯誤，不會給一份看起來正常的空內容。

帳號第一次從某個位址建立協議連線時，系統產生一筆中等嚴重度的告警。基準是帳號與位址這一組，之後再從同一個位址連就不再重複告警。基準的轉態與告警在同一筆交易內寫入，通知在交易提交之後才送。

這類告警不掛任何規則，所以不會因為停用某條規則而消失。告警列上的位址是連結，一鍵以該位址為樞紐進入調查工作台，時間窗是告警當日、類別為全部。

網頁登入自新位址是另一種處理：留一筆稽核紀錄並把位址納入基準，但不產生告警、不推播。這組基準不納入任何保留政策的清除範圍。

一般使用者有一個「我的連線」自助頁，看得到自己連了什麼：資產名稱、協議、連線時間、時長、狀態。進行中的連線可以自己終止，終止會二次確認，並在紀錄裡標明結束原因是使用者自行終止。

這一頁是白名單式的精簡投影，不含指令、錄影、憑證、來源位址與目標主機位址，也沒有任何指令檢視或錄影播放的入口。終止的權限判定只認擁有者本人，別人的連線一律查無此筆。