审计
SSH和RDP审计日志
Casvisor是堡垒机，所有连接都经过它，所以都会留下记录。SSH和RDP的审计分成四部分：会话、命令、录像，以及通过接口或会话做的改动。每一部分都有自己的页面，这一页是索引。
记录了什么
| 内容 | SSH | RDP | 页面 |
|---|---|---|---|
| 会话 | 谁连的、连的哪台资产、从哪个地址、连了多久 | 一样 | 会话 |
| 命令 | 每一条命令，来自网页终端或SSH网关 | 没有：RDP没有可读的命令行 | 命令 |
| 屏幕 | 终端输出，在终端里回放 | 桌面和鼠标指针，用同一套RDP代码回放 | 录像 |
| 改动 | 接口调用、SFTP和文件面板操作 | 接口调用、重定向磁盘的文件事件、剪贴板复制和粘贴 | 操作日志 |
ssh命令行、scp、rsync、SFTP和端口转发没有屏幕可录，命令记在命令记录里，传过的文件记在操作日志里。
会话
工作台里的每个标签页、每个资产页、每个通过SSH网关的连接都是一个会话，带着用户、资产、协议、客户端IP、浏览器和时长。管理员能看到在线和已结束的会话，实时旁观，也能中断。见会话。
命令
Casvisor读取SSH和Telnet会话的命令行，网页终端和SSH网关都算，连同用户、资产、客户端IP和会话一起保存。命令规则用正则匹配命令，命中后可以挡住不执行，或者只标记。见命令记录和命令规则。
屏幕和终端录像
SSH和Telnet录的是终端输出；VNC和RDP录的是服务器发过来的屏幕，RDP还带鼠标指针。管理员在浏览器里回放，最高16倍速，可以跳过空闲时间、跳到某条命令，也可以下载.cvr文件或asciicast。录像是文件，存在Casvisor工作目录的recordings/下，按组织和日期分文件夹。见录像。
操作日志
操作日志记的是对Casvisor接口的调用，带用户、客户端IP、动作、对象和结果，也记会话里发生的事：SFTP和文件面板的传输、RDP重定向磁盘、剪贴板复制和粘贴、实时旁观和回放。密码和私钥在写入前会被打码。见操作日志。
谁能看
会话、录像、命令和操作日志都是管理员的页面，也是排查事件的起点：谁连上了服务器、执行了什么、看到了什么、改了什么。
保留多久
录像一直保留，recordingRetentionDays可以按天删除；留空或设为0就是永久保留，在历史里删除会话也会删掉它的录像。操作日志一直保留到手动删除，目前还没有按天清理的设置。