等级保护 2.0 对终端行为审计提出明确要求，传统文本审计只能记录事件发生条目，**无法还原用户真实屏幕操作过程**。面对截图泄密、越权操作系统、内部违规操作等场景，单纯依靠进程、文件、网络日志很难完成事件溯源。屏幕审计作为终端行为审计的可视化能力，通过截图、录像采集终端画面，把抽象的日志转化为可视证据。但无差别全时采集会带来存储爆炸、服务器 IO 压力过高等运维难题。