对象存储访问日志核查是什么
对象存储的服务端访问日志逐条记录对对象的操作：请求者是谁、执行了什么操作（如读取对象）、访问了哪个键名、来自哪个地址、下发多少字节。批量下载、异常来源地址与陌生请求者，是数据外带调查里最直接的证据之一。
基本信息
| 适用范围 | 对象存储的服务端访问日志 |
|---|---|
| 关键字段 | Requester、Operation、Key、Remote IP、时间、下发字节 |
| 日志位置 | 由桶配置投递到目标位置，通常按小时分片 |
| 注意 | 未开启访问日志时没有记录，不代表没有访问 |
典型使用场景
- 确认某个对象是否被下载过、被谁下载
- 统计某前缀下对象的批量下载行为
- 排查桶权限被改为公开后的对外访问
- 评估外带量级：请求数、对象大小与下发字节对照
- 与控制面审计日志交叉：改权限在前、读对象在后
- 核对对象版本与删除标记，确认已被删除的对象此前是否被读取过
统计外带痕迹
统计外带痕迹
zgrep 'REST.GET.OBJECT' 2026-10-*.log.gz | awk '{print $9" "$6}' | sort | uniq -c | sort -rn | head
zgrep 'REST.GET.OBJECT' 2026-10-*.log.gz | awk '{s+=$17} END {print s/1024/1024" MB"}' # 累计下发量
zgrep -h 'REST.GET.BUCKET' 2026-10-*.log.gz | head # 列桶行为，枚举的前兆
# 先按键名前缀聚合看下载面，再按来源地址聚合看访问源字段与判读
| 字段 | 含义 | 异常表现 |
|---|---|---|
| Requester | 请求者标识 | 出现匿名或陌生凭据 |
| Operation | 操作类型 | 大量对象读取集中在短时间内 |
| Key | 对象键名 | 集中在敏感目录或备份前缀 |
| Remote IP | 来源地址 | 来自非业务网段或陌生地区 |
| 下发字节 | 响应体大小 | 结合请求数估算外带量级 |
访问日志投递有延迟，且按固定周期分片。排查最近某个时段时可能还没有对应日志文件，不能据此判断未发生访问。
内网扫描器与业务系统可能共用同一个出口地址，归属判断要结合请求者标识与键名前缀，只看来访地址会出错，必要时与云审计日志按时间交叉核对。