### ① 组件是什么 审计日志记录 API Server 上每一次请求（谁、何时、对什么资源、做了什么动作），是事后追溯与入侵判定的法定依据，区别于业务日志。 ### ② 语言与 C 库 API Server（Go goroutine）内置审计管线，落盘/外发经 `open`/`write` 与 socket，不 fork。 ### ③ 运行机制 请求过认证授权时生成审计事件，按策略记录元数据与请求/响应，外发到后端存储，供事后检索谁在何时做了什么。 ### ④ 常见配置缺陷 - 审计未开启或只记元数据不记请求体，关键动作无记录。 - 审计日志与被监控对象同权存储，失陷后可被删除或篡改（遗漏与篡改）。 - 日志外发无完整性保护，可被改。 - 保留期过短，入侵痕迹过期消失。 ### ⑤ 对应攻击链路 审计遗漏让恶意动作无迹可寻，审计可篡改让攻击者销毁痕迹，二者都服务于隐匿，是防守侧可见性的崩塌点，而非直接攻击入口。 ### ⑥ 对应 C 库 文件 `open`/`write`。外发 socket。完整性校验对接加密库。 ### ⑦ 对应工具 审计开关与记录范围