日志留了半年没人看，出事才想起查？老IT聊聊日志审计那点事

有朋友前几天问我：等保测评下来，说我们日志留存不合规，要求日志至少留半年。他挺委屈——服务器日志明明都在，怎么就说不合规了？

我去看了一眼就明白了：日志是都在，散在十几台机器里，有的服务器时间还不准，有的日志早被循环覆盖了，真要查某天的操作记录，翻半天翻不出来。这种"留了等于没留"，恰恰是日志审计要解决的事。

今天不聊测评细则，就聊聊日志审计到底是什么、跟堡垒机有什么区别、落地时该盯哪几个点。

先分清：日志审计和堡垒机不是一回事

很多人把这两个搞混。堡垒机管的是"谁登录过服务器、敲了什么命令"，偏运维入口的管控和审计。日志审计的范围大得多——它把服务器、数据库、网络设备、安全设备、应用系统产生的日志全部收上来，统一存、统一查、统一告警。

打个比方：堡垒机像小区门口的门禁，记的是谁几点进了哪栋楼；日志审计像整栋楼的监控系统，楼道、电梯、配电房都覆盖，谁在哪个时间出现在哪，前后串起来能还原整件事。

等保之所以卡日志留存，就是因为它认的是"能不能查"，不是"有没有存"。日志收不齐、时间对不上、查不到关键操作，测评自然过不了。

日志审计到底在审什么

说穿了就三类。

第一类：登录和操作记录。 谁在什么时间、从哪个IP、登录了哪台机器，执行了哪些敏感操作。这是出事后还原过程最常用的材料。

第二类：安全设备事件。 防火墙的拦截记录、杀毒软件的查杀记录、入侵检测的告警。平时它们各自报警，收上来之后才能看出关联——比如同一批IP先扫防火墙、再试数据库，这种串联单看一台设备是发现不了的。

第三类：应用和业务日志。 数据库的增删改、后台管理员的配置变更、关键业务的异常。这类日志最容易漏，因为很多业务系统的日志默认只保留很短时间，或者压根没开。

真出问题时，日志能帮你回答三个问题

做过安全事件排查的都知道，事后最怕的就是这三个问题答不上来：

一是"谁干的"。账号、IP、设备，能不能定位到人。

二是"干了什么"。操作序列能不能完整还原，从登录到退出中间的每一步。

三是"什么时间"。这就涉及到时间同步——如果服务器跟标准时间差了几分钟甚至几个小时，多台设备的日志根本对不上，事件还原就成了拼图缺角。

NTP时间同步是日志审计的基础，很多人一开始不注意，等要查日志时才发现时间戳是乱的，那时候再补就晚了。

选型时值得盯的四个点

市面上日志审计产品不少，从几万到几十万都有，别光看价格，盯这几点：

第一，采集兼容性。 你现有的设备、操作系统、数据库、业务系统，它能不能都接上？有些产品对常见Linux、Windows支持好，但对国产数据库、信创系统支持一般。项目要上信创的话，这一条优先确认。

第二，是不是全量留存。 有的产品为了省存储，日志做了裁剪或只留摘要，真查的时候关键字段没了。合规要求的是原始日志完整留存，这部分别省。

第三，查询和告警好不好用。 界面能不能快速按账号、IP、时间范围检索，能不能自定义告警规则（比如深夜批量删除、管理员异常登录）。再好看的大屏，检索难用也是白搭。

第四，存储方案和成本。 日志量增长很快，一台设备顶多存几个月。是按容量授权、还是按日志源数量授权、存储扩展贵不贵，签合同前算清楚。有些项目就是栽在"设备买了，存储不够，日志循环覆盖"上。

落地时三个容易踩的坑

坑一：日志源"接一半"。 只接了服务器，数据库和应用没接，或者只接主节点不接备节点。测评老师随便抽查一台，发现没接入，整个就白做了。

坑二：告警没人管。 平台天天弹告警，运维看不过来干脆把告警关了。日志审计就变成了纯存日志，价值少了一大半。建议告警分级：高危的推给专人，低危的汇总日报。

坑三：权限管理松懈。 日志审计平台本身记录了所有人的操作，如果连查日志的权限都不设限，管理员自己删了日志都没人知道。审计平台自己的操作记录也要留存、要定期检查。

最后说两句实在的

日志审计不是什么新鲜东西，但很多公司是"等保测评前装一套、测评后吃灰"。其实它的价值在日常：数据库半夜被人动过、有人用离职员工的账号登过系统、某个接口突然被扫——这些事日志平台都能提前告诉你。

建议从简单的做起：先把最重要的几台服务器和数据库接上，时间同步做好，留存策略设成180天以上，告警规则先配两三条最关键的。用起来之后再逐步扩，比一步到位买个大而全的然后搁置要实在得多。

日志这玩意，平时没人觉得重要，真出事的时候，它是唯一能还原真相的东西。