日志源清单是什么
审计的有效性首先取决于覆盖面：日志源清单是一份台账，登记有哪些设备与系统产生日志、以什么方式采集、留存多久、谁负责。没有这份清单，日志审阅与事件调查都会出现盲区，检查时也难以证明审计范围足够。
基本信息
| 台账字段 | 日志源、设备或应用、采集方式、字段清单、传输加密、存放位置、留存期限、责任人、最近验证日期 |
|---|---|
| 采集方式 | Agent、Syslog 转发、API 拉取、日志服务订阅 |
| 覆盖要求 | 主机、网络、安全设备、应用与 API、数据库、云平台 |
| 留存口径 | 按法规与内部制度要求，网络日志通常不少于六个月 |
| 验证方式 | 定期确认日志持续到达并抽查字段完整性 |
| 更新时机 | 新系统上线、设备替换或架构调整后同步更新 |
典型使用场景
- 等保整改中先建清单，再按缺口补齐采集与留存
- 安全事件调查时快速定位哪些系统有可用日志
- 新系统上线流程中加入日志接入与台账登记环节
- 季度巡检确认各日志源持续到达，避免静默断流
- 向检查人员说明审计覆盖面时直接出示台账
常见日志源
| 类别 | 示例 | 关注点 |
|---|---|---|
| 主机系统 | Linux audit/secure、Windows 安全日志 | 登录、提权、账号与策略变更 |
| 网络设备 | 交换机、路由器、防火墙 | 配置变更、ACL 拒绝、VPN 接入 |
| 安全设备 | IDS/IPS、WAF、防病毒控制台 | 攻击告警与处置记录 |
| 应用与 API | Web/App 访问日志、网关日志 | 认证、越权、异常参数 |
| 数据库 | 审计插件、慢查询与连接日志 | 批量导出、敏感表访问 |
| 云平台 | 操作审计、对象存储访问日志 | 控制台操作与策略变更 |
台账字段示例
台账字段示例
日志源 | 设备/应用 | 采集方式（Agent/Syslog/API）| 字段清单
传输加密 | 集中存储位置 | 留存期限 | 责任人 | 最近验证日期台账本身不是目的：每季度抽查几条记录，确认能从采集端追到存储端，才算台账与实际一致。日志断流往往在需要它的时候才被发现。
覆盖盲区通常来自三类系统：新建的临时环境、外包开发的系统、以及历史遗留且无维护人的老系统，清单梳理时优先过一遍。