第3章 动态权限审计概念与范围

动态权限审计是区别于传统定期权限盘点的一种持续、实时或准实时的权限验证机制。其核心在于“动态”二字：审计动作不再依赖固定的周期或人为触发，而是由系统运行时的事件流、上下文变化或风险阈值自动驱动。

3.1 适用场景

• 高敏感操作审计：财务转账、客户数据导出、后台配置修改等涉及敏感资产的每一次访问。
• 特权账号监控：DBA、运维、超级管理员等高权限账号的任何非常规登录或命令执行。
• 微服务间调用鉴权：服务拓扑中每一个API调用的/OAuth2权限实时校验。
• 数据湖/数据仓库动态脱敏：根据用户当前角色、项目组上下文实时调整可查询字段。
• 多云/混合云资源访问：跨IAM体系的权限实时同步与仲裁。

3.2 前置条件

1. 已建立统一的身份认证与权限管理平台（IAM/IDM），且权限数据结构化（用户-角色-权限-资源四元组）。
2. 目标系统（应用、数据库、API网关）具备可编程拦截点或AOP切面（如Spring AOP、Kong插件、Sidecar代理）。
3. 已定义审计事件数据标准（字段列表、格式、传输协议）。
4. 审计日志存储与检索设施就绪（如Elasticsearch、ClickHouse、时序数据库）。
5. 初步部署静态权限基线（第2章内容）作为动态审计的参照锚点。

3.3 操作步骤（SOP流程）

1. 定义动态触发时机：按事件类型（登录、写操作、跨部门访问）和频率（首次访问、异常时间段）配置触发规则。
2. 植入拦截点：在业务代码切面或网关层注入审计采集逻辑，记录当前用户、请求资源、操作类型、上下文环境。
3. 权限裁决：将实时请求发往权限引擎，与动态策略（结合用户画像、信任等级、风险因子）进行比对。
4. 裁决输出：返回“允许/拒绝/二次确认/要求MFA”等动作。
5. 结果持久化：将审计日志与裁决结果写入不可篡改的审计存储（建议使用Append-Only模型）。
6. 告警联动：对拒绝或二次确认事件触发实时告警（钉钉/邮件/SIEM）。

3.4 输入输出物

3.5 责任边界

• 安全团队：定义动态审计策略、裁决阈值、异常处理SOP。
• 运维团队：保障拦截点部署、审计日志传输链路可靠性、日志存储容量。
• 应用开发团队：在代码中按规约植入审计上下文（如user_id、client_ip），不得绕过拦截点。
• 数据保护官（DPO）：审计范围中涉及PII（个人身份信息）的，需确认符合GDPR/等保合规条款。

3.6 记录材料模板

建议使用标准JSON结构持久化每次动态审计事件，示例片段如下：

{
  "audit_id": "dyn-20250321-a7f9c",
  "timestamp": "2025-03-21T14:23:11.872Z",
  "principal": {
    "user_id": "zhangsan",
    "role": "运维工程师",
    "group": "SRE-CN"
  },
  "resource": {
    "type": "数据库",
    "name": "prod-mysql-01",
    "table": "user_account"
  },
  "action": "SELECT",
  "context": {
    "source_ip": "10.12.34.56",
    "geo": "CN-BJ",
    "time_of_day": "14:23",
    "is_privileged_hour": false
  },
  "decision": "DENY",
  "reason": "数据表user_account标记为高敏感，非工作时间禁止批量查询",
  "engine_version": "v3.2.1"
}

3.7 异常处理与补救动作

3.8 验收标准

1. 触发覆盖度：100%定义的高风险操作路径均已植入拦截点（Coverage >= 99.5%）。
2. 延迟指标：95%的审计裁决在300ms内完成；99.9%不超过1s。
3. 日志可靠性：审计事件丢包率低于0.01%；数据持久化后支持至少90天在线检索。
4. 误报率：Audit-Only模式下误报率 < 5%；Enforce模式下误阻断率 = 0（通过变更管理审批二次确认）。
5. 可追溯性：每一条DENY记录必须包含明确的拒绝原因引用（策略ID或规则行号）。

3.9 审计范围三维度

动态权限审计的范围需同时覆盖三个粒度层级，缺一不可：

3.10 动态审计触发与检测流程（SVG架构图）

3.11 检查清单