这一类问题在说什么
审计记录可被删除或篡改指审计日志由被审计的系统管理员在本机保管，日志文件权限过宽，运维人员随手就能删除或修改。等保明确要求对审计记录进行保护，避免受到未预期的删除、修改或覆盖。整改思路不是给日志加口令，而是把权限、存储位置与校验机制一起调整。
整改方向
整改方向
# 四件事一起做
权限：日志文件仅审计角色可读，操作角色不可删改
机制：远程集中存储（本机只负责发送），关键目录只追加
完整性：哈希校验或一次写入多次读取存储防篡改
流程：日志清理需审批并留记录，禁止个人随意删除防删改与集中留存检查
防删改与集中留存检查
# 只追加保护（示例，需 root；对 ext4 等文件系统适用）
chattr +a /var/log/app/audit.log
lsattr /var/log/app/audit.log
# 权限收敛：仅审计组可读
chgrp audit /var/log/app/audit.log
chmod 640 /var/log/app/audit.log
# 远程转发验证：在集中平台按主机与时间检索配套要点
- 本机只作缓冲：即使本机日志被清理，集中平台仍有完整副本
- 审计角色独立：查看审计记录的人不应同时拥有删除权限
- 集中平台自身权限收敛：平台管理员不能随意删除历史日志
- 日志清理走流程：保留期到期清理或空间不足处置都要有审批记录
- 校验机制：定期对归档日志做校验，确认未被改动
只追加属性可以防止删除与截断，但不阻止覆盖写入，所以必须配合远程集中存储与校验机制，单独使用并不能完整满足审计记录保护要求。
审计角色与系统管理角色由同一人兼任时，审计保护条款与安全管理中心的三权分立要求会同时不满足，属于常见组合问题。
国产化与信创环境中可选用具备一次写入多次读取特性的存储或专用审计设备来强化防篡改能力，选型时确认其与现有日志平台的兼容性。