这一类问题在说什么
日志留存不足六个月是测评中另一类高频不符合：本机日志按天轮转只留几份，几天前的记录就被覆盖，同时没有集中日志平台，数据库与安全设备的日志压根没采集。它同时踩到两条线，一是网络安全法第二十一条的六个月留存义务，二是等保安全审计条款关于审计记录保护与备份的要求。整改的核心不是「把文件调大」，而是先算清写入量，再决定本机保留与集中存储的组合。
基本信息
| 对应条款 | 网络安全法第二十一条；GB/T 22239-2019 安全审计（记录保护与备份） |
|---|---|
| 法定下限 | 相关网络日志不少于六个月 |
| 常见表现 | 本机只存数天、无集中平台、边界与数据库日志未采集 |
| 整改方向 | 本机轮转份数按容量核算 + 集中转发留存 + 覆盖范围补全 |
| 验证方式 | 抽查较早日志仍可检索、可导出，并演示权限受控 |
留存与转发配置参考
留存与转发配置参考
# logrotate：按天轮转并保留 180 份，先按每日写入量估算磁盘占用
/var/log/app/*.log {
daily
rotate 180
missingok
compress
copytruncate
}
# rsyslog 转发到集中日志平台（故障时入队，避免丢日志）
*.info;authpriv.* @@10.20.30.40:514
$ActionQueueType LinkedList
$ActionResumeRetryCount -1留存链路各项要求
| 环节 | 做法 | 检查点 |
|---|---|---|
| 采集范围 | 主机、数据库、网络与安全设备、应用关键日志 | 采集清单与设备纳管清单是否一致 |
| 本机保留 | 按写入量设置份数或容量上限，覆盖 180 天 | 抽查三十天前日志是否还在 |
| 集中存储 | 转发到日志平台，磁盘水位留有增长余量 | 容量估算与扩容记录 |
| 可检索 | 按时间、源地址、账号、事件类型检索导出 | 现场演示检索三十天前记录 |
| 防篡改 | 只追加写入、最小权限、异地留存 | 审计员账号权限与会话限制 |
自检命令
自检命令
# 查看轮转策略是否按天并保留足量
grep -rE 'rotate|daily|maxsize' /etc/logrotate.d/ /etc/logrotate.conf
# 确认日志服务状态与转发是否生效
systemctl is-active rsyslog 2>/dev/null || systemctl is-active syslog-ng
grep -rE '@@?[0-9]' /etc/rsyslog.conf /etc/rsyslog.d/ 2>/dev/null
# 抽查较早记录能否检索并导出
journalctl --since '-30 days' --until '-29 days' | head -20典型使用场景
- 测评整改：以本机保留加集中转发组合快速补足六个月
- 安全事件溯源：能还原账号、时间、源地址与操作序列
- 监管检查：现场演示检索与导出，证明日志可查可用
- 容量规划：按日均写入量与保留期反推存储需求，避免整改后爆盘
六个月是下限：审计类日志建议保留一年以上，且日志中若含个人信息，要在制度里写明保留依据与到期处置方式，避免与最小必要原则冲突。
只调大单文件大小不评估写入量，实际仍会覆盖旧日志；应在整改后用「能否检索到三十天前的日志」这条硬指标验收。
容量与保留估算
- 先测日均写入量：抽样一天日志目录的增量，按 MB/天 估算
- 按保留期反推容量：日均写入量乘以 180 天，再留出百分之三十增长余量
- 压缩与归档：文本日志压缩比通常在五倍以上，历史数据可压缩后再留存
- 告警兜底：磁盘使用率超过阈值触发告警，避免写满后静默中断采集
常见被漏掉的日志源
- 网络设备与安全设备的系统日志与安全事件日志
- 数据库审计日志与慢查询、权限变更记录
- 堡垒机与统一身份认证的登录、授权、命令记录
- 带外管理口登录记录与应用后台管理操作记录