溯源思路与流程68 条

日志源盘点清单

开工先列出"有哪些日志、在哪里、留多久"：主机日志、应用日志、网络设备、安全设备、云平台与 SaaS 审计，逐项确认可查性。

用途	确认证据可获得性
输出	日志源清单（位置/保留期/负责人）

清单骨架

来源 | 位置 | 保留期 | 访问方式 | 时区
web-1 auth | /var/log | 90 天 | SSH | UTC+8
FW 日志 | 集中平台 | 180 天 | 查询界面 | UTC

保留期小于事件时间跨度时，明确"证据缺口"而非猜测。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌