日志审阅机制是什么
审计日志只有被审阅才产生价值。审阅机制由三部分组成：自动告警覆盖已知的高危模式，定期人工抽审发现规则之外的行为，月度或季度报告沉淀结论与处置记录。审阅动作本身也要留记录，否则在检查中无法证明机制在运行。
基本信息
| 机制组成 | 自动告警 + 定期人工抽审 + 审阅报告 |
|---|---|
| 审阅频次 | 高风险环境建议每日看告警、每周抽审、每月出报告 |
| 记录要求 | 日期、审阅人、数据范围、发现项、处置动作与复核人 |
| 数据来源 | 主机认证日志、应用访问日志、数据库审计、安全设备告警 |
| 升级路径 | 发现项按风险分级流转，超时升级到安全负责人 |
| 归档 | 审阅记录随日志一并留存，支撑检查与事件复盘 |
典型使用场景
- 每周抽审管理员账号的登录时段与来源 IP，发现非常规操作
- 月度核对账号新增与权限变更清单，清理离职人员残留账号
- 敏感数据批量导出行为复核，判断是否有业务依据
- 安全设备告警的误报率评估，持续优化规则减少噪音
- 事件复盘时用审阅记录证明事前已有监控与处置动作
审阅重点清单
审阅重点清单
1 登录失败集中出现（同一来源、同一账号）
2 非工作时间与异地登录、特权账号使用
3 账号创建/删除、权限与策略变更
4 敏感数据批量导出、数据库高危语句
5 安全设备告警与防火墙拒绝骤增
6 日志中断（采集停止）与时间异常审阅记录字段
审阅记录字段
日期 | 审阅人 | 数据范围 | 发现项 | 处置动作 | 复核人 | 结论审阅频率设计
| 环境类型 | 建议频率 | 说明 |
|---|---|---|
| 互联网暴露系统 | 每日看告警，每周抽审 | 攻击面大，异常需快速响应 |
| 内部核心系统 | 每周抽审，每月报告 | 以特权账号与数据访问为重点 |
| 一般办公系统 | 每月抽审 | 结合账号变更记录批量核对 |
| 第三方接入 | 每月核对接入记录 | 合作方账号生命周期易失控 |
审阅记录可以用表格或工单系统承载，关键是包含审阅人、范围与结论三项，能被抽样核对到具体日志。
只建规则不排班：告警无人看、抽审无人做，是审计类不符合项中最常见的情形，检查时往往直接判机制未落实。