Nella mia comprensione, gli amministratori devono accedere ai registri dei server, delle workstation, dei servizi e delle applicazioni che gestiscono, a scopo di amministrazione o di debug, mai ai registri generati da auditd dalle proprie attività. Un altro amministratore o il SOC può. Sto prendendo in considerazione la politica aziendale e la minaccia di un account amministratore rubato dove voglio impedire a un utente malintenzionato di vedere o cancellare le sue tracce o malevolenza da parte dell'amministratore stesso.
È corretto? In caso contrario, cosa è raccomandato? Per estendere un po 'di più la domanda, come deve essere gestito l'accesso ai log centralizzati quando è richiesto l'accesso legale o legale, account locali e monitorati?