网络安全相关法律法规对网络日志留存提出了明确要求，其中较为人熟知的一条是留存时间不少于六个月。这一要求的出发点有两个：一是发生安全事件后能够追溯，二是配合有关部门依法调查。除了法律层面的要求，行业监管规定和等级保护标准通常也会对审计记录的内容、保护和留存提出更具体的要求。
第一，网络设备日志。包括边界设备与交换设备的连接记录、策略命中记录和会话信息。
第二，主机与终端日志。包括系统登录、账号变更、进程执行和关键文件访问。
第三，应用与业务日志。包括用户登录、权限变更、关键业务操作。很多单位保留了设备日志却遗漏了业务应用日志，导致事件调查时无法还原操作过程。
第四，身份与权限系统日志。账号创建、授权变更、认证失败等信息对于判断是否发生账号滥用至关重要。
第五，云平台与基础设施日志。包括控制台操作记录和资源变更记录。
第一，时间同步。所有设备应统一时间源并保持准确。时间不一致会直接破坏事件关联，是调查中最常见的障碍。
第二，完整性保护。日志应集中传输到独立存储，避免可被本地删除或修改。存储节点应限制访问权限，对日志的访问本身也要记录。
第三，容量规划。日志量往往随业务增长而快速增长，需要提前评估存储成本，对低价值日志做合理的采集策略，例如调整采样或缩短高频重复日志的保留周期。
第四，检索能力。留存的目的之一是能用，因此需要考虑查询效率，建立常用字段的索引，并预先准备好常见调查场景的查询方法。
第五，敏感信息处理。日志中不应记录明文口令、完整证件号码和支付信息。采集时应做脱敏处理，避免日志本身成为泄露源。
第一，老旧系统无法输出日志或格式不规范，需要通过外置采集手段补齐。
第二，日志留存与个人信息保护之间存在张力，需要通过最小必要采集和脱敏来平衡。
第三，留存策略缺少定期检查，出现设备调整后日志中断却长期无感知。建议对关键日志源的接入状态做监控告警。
日志留存是一项基础且容易被忽视的工作。把时间同步、集中存储、访问控制和可用性监控这几件事做好，既能满足合规要求，也能在真正需要调查时拿得出证据。
售后客服
企业微信
