六个月留存要求
网络安全法第二十一条要求采取监测、记录网络运行状态与网络安全事件的技术措施，并按规定留存相关网络日志不少于六个月。这条要求的重点有两个：一是日志范围要覆盖网络运行状态与安全事件，不能只看 Web 访问日志；二是留存要真实可用，能检索、能导出、能证明没有被随意删改。检查方式通常是现场抽查较早时段的日志能否调出。
基本信息
| 依据 | 网络安全法第二十一条 |
|---|---|
| 留存期限 | 不少于六个月（法定下限） |
| 对象 | 网络运行状态与网络安全事件相关的网络日志 |
| 落地要素 | 覆盖范围清单 + 留存介质与周期 + 可检索可导出 + 防篡改 |
| 关联条款 | GB/T 22239-2019 安全审计（记录保护与备份） |
留存落地检查
留存落地检查
# 四步自查，缺一步就不算落地
1 清单：主机、网络设备、安全设备、应用、数据库、身份系统是否都在采集范围
2 期限：在线可查时限是否不少于六个月（含归档与压缩存储）
3 可用：能否按时间、源地址、账号、事件类型检索并导出
4 防篡改：权限最小化、只追加写入、异地留存采集范围清单
| 日志源 | 关键内容 | 常见遗漏 |
|---|---|---|
| 主机与操作系统 | 登录、提权、账户变更 | 只采应用日志，系统日志未采 |
| 网络与安全设备 | 会话、策略命中、攻击告警 | 设备纳管了但日志没接进去 |
| 数据库 | 增删改、权限变更、慢查询 | 全靠主机日志替代 |
| 应用系统 | 访问、交易、异常 | 只留 Web 访问日志 |
| 身份与堡垒机 | 认证、授权、命令记录 | 仅留存本地未集中 |
典型使用场景
- 监管检查：现场演示检索与导出六个月前的日志
- 事件溯源：还原账号、时间、源地址与操作序列，判断影响面
- 测评整改：以留存链路证据满足审计记录保护与备份条款
- 容量规划：按日均写入量估算存储，避免整改后写满磁盘
六个月是法定下限，不是建议值：审计类日志建议保留一年以上，便于年度对比与跨年度事件回溯；若日志含个人信息，要在制度中写明保留依据与到期处置方式。
日志留存与个人信息保护存在张力：留存要有依据、访问要有权限、到期要能清理，不能因为「要留六个月」就把所有日志无限期集中堆积。
留存链路怎么搭
比较省事的做法是分两层：本机负责短期缓冲，集中平台负责长期留存。本机侧用日志轮转按天切分并保留足够份数，防止集中平台短暂中断时丢记录；集中侧按日归档并压缩，用独立磁盘或对象存储保存，磁盘水位设阈值告警。关键指标只有一个：随便挑一个三十天到六个月前的时间点，能否在两分钟内检索出来并导出。
本机留存参考配置
本机留存参考配置
# 按天轮转并保留 180 份，先按每日写入量估算磁盘占用
/var/log/secure {
daily
rotate 180
missingok
compress
notifempty
}
# 转发到集中平台，网络中断时入队重试
*.info;authpriv.* @@log.example.com:514
$ActionQueueType LinkedList
$ActionResumeRetryCount -1权限与防篡改
- 采集账号只写不读：业务主机侧只允许写入，不允许删除或修改已归档记录
- 查看权限单列：只有审计岗可以查询全量日志，运维岗按需申请临时授权
- 记录访问行为：谁在什么时间查了哪些日志，本身也要留审计记录
- 异地留存：集中平台本身也要有异地副本，避免单点被清除