审计记录要达到的标准
审计记录的目的是在事后能把一件事还原清楚，因此它必须包含五个要素：操作人身份、准确时间、目标设备、具体动作与执行结果。除此之外还有四个质量要求：不可篡改（操作人自己不能删改记录）、可检索（能按人、按设备、按时间段查）、留存期足够（事件被发现时记录还在）、时间准确（跨系统能按同一时间轴对齐）。工控环境的现实是大量设备不具备审计能力，这时应采用替代记录：集中接入系统的会话记录、边界设备的通信记录、以及工程变更与操作票等管理记录共同构成证据链。
基本信息
| 记录要素 | 操作人、时间、目标设备、动作类型、执行结果 |
|---|---|
| 必须覆盖的事件 | 登录与登出、配置变更、程序下载与参数修改、账号增删与授权变更、日志服务状态变化 |
| 不可篡改 | 集中存储、权限分离、必要时完整性校验，禁止操作人在本机清除记录 |
| 可检索性 | 字段规范化加集中索引，否则事后只能人工翻找 |
| 留存期 | 按内控与合规要求确定，并覆盖事件可能被发现的滞后时间 |
| 替代记录 | 设备无审计能力时，用接入侧会话记录、网络侧通信记录与操作票补足 |
必须记录的事件类型
- 身份与认证：登录、登出、认证失败、账号启用与停用
- 权限变更：账号新建与删除、角色调整、权限提升
- 配置变更：网络设备、安全设备与主机的配置修改
- 工程动作：程序下载、参数写入、组态修改与固件升级
- 审计自身：日志服务启停、采集通道中断、存储空间异常
- 物理接触：介质使用登记、机柜与机房出入记录
- 文件流转：数据导入导出与跨区传输的审批与执行记录
事件类型与常见缺失
| 事件类型 | 记录要点 | 常见缺失 |
|---|---|---|
| 登录认证 | 账号、来源、时间、结果 | 只记成功不记失败，爆破行为不可见 |
| 配置变更 | 变更前后内容或差异 | 只记变更动作不记内容，无法还原 |
| 工程动作 | 操作人、目标设备、下载内容标识 | 工控软件日志未开启，动作无记录 |
| 权限变更 | 授权人、被授权人、权限范围 | 授权靠口头，无书面与系统记录 |
| 审计自身状态 | 采集是否正常、存储是否充足 | 采集中断无人发现，事后才发现断档 |
| 物理接触 | 人员、时间、介质编号、用途 | 纸质登记且不检索，实际不可用 |
设计留存期前先明确审计的三类用途：追责（需要人员与动作对应）、复盘（需要过程与结果细节）、合规（需要覆盖规定的事件类型与时长）。三者所需粒度和时长并不相同，先定用途再定方案，可以避免要么存了没人看、要么需要时已经没了。