信创百科：什么是日志审计？等保检查的“翻账本”环节
核心提示：日志审计是等保测评的必查项，也是安全溯源的基础。本文科普日志审计的要求、常见整改项与工具化实践。
一、等保怎么说
等保2.0要求：对重要网络与系统的日志进行集中收集、留存和保护，留存时间不少于6个月（网络安全法明确要求）。测评师到场的必做动作就是"翻账本"——看你的日志齐不齐、存没存够、能不能查。
二、要收集哪些日志
- 网络设备：防火墙、交换机、路由器的运行与策略变更日志；
- 安全设备：WAF、IPS的告警与阻断记录；
- 服务器与OS：登录审计、特权命令、系统事件（国产OS均支持syslog外发）；
- 数据库：连接、DDL/DML操作审计（国产数据库自带audit功能，注意开启）；
- 应用系统：登录、关键业务操作日志。
三、常见扣分项
- 日志散落各设备本地、无集中收集——出事没法横向关联溯源；
- 留存不满6个月或日志滚动覆盖；
- 时钟不同步（NTP未统一）——时间线对不上，日志失去证据效力；
- 日志服务器自身无访问控制—— attacker可以删账本。
四、工具化实践
小型环境：rsyslog/syslog-ng集中收集+磁盘归档即可达标；中大型：上日志审计系统或SIEM（国产安全厂商主力产品线，多数支持国产OS/DB日志源），配置告警规则（如特权账号登录、批量删除）。进阶：日志+流量+威胁情报联动分析。
五、信创环境的注意点
- 确认审计工具支持国产OS与国产数据库的日志格式；
- 国产数据库审计功能需显式开启并验证落盘；
- 日志服务器自身按等保要求加固（它的日志也要审）。
六、结语
日志是安全的"行车记录仪"——平时没人看，出事全是它。信创百科持续更新，欢迎社区提问。
相关评论
查看更多更多>同类信创资讯
{php
$_jsonld = array(
'@context' => 'https://schema.org',
'@type' => 'Article',
'headline' => $title,
'description' => isset($introduce) && $introduce ? $introduce : $title,
'image' => array(isset($thumb) && $thumb ? $thumb : $DT['logo']),
'datePublished' => date('c', $addtime),
'author' => array('@type' => 'Organization', 'name' => $DT['sitename']),
'publisher' => array('@type' => 'Organization', 'name' => $DT['sitename'], 'logo' => array('@type' => 'ImageObject', 'url' => $DT['logo'])),
'mainEntityOfPage' => array('@type' => 'WebPage', '@id' => $DT['url'].$MOD['moduledir'].'/show-'.$itemid.'.html'),
);
if(isset($edittime) && $edittime) $_jsonld['dateModified'] = date('c', $edittime);
echo '';
}
暂时没有评论，来说点什么吧