采集范围要看能回答什么问题
日志采集不是越多越好，而是够用并且可用。判断标准是能否回答几个基本问题：谁登录了哪台设备、谁改了配置或下载了程序、哪台主机在什么时候与什么地址通信、有哪些设备发生了异常、谁在什么时候用了移动介质。据此确定来源：网络与安全设备提供通信与拦截记录；工控主机与服务器提供登录、进程与操作记录；认证与集中入口系统提供人员身份；介质登记与门禁记录补充物理接触信息。所有来源都必须有时间准确性这个共同前提，否则跨来源关联无法进行。
基本信息
| 采集来源 | 网络设备、安全设备、工控主机与服务器、控制器（若支持）、认证入口、介质与门禁记录 |
|---|---|
| 关键字段 | 时间、来源、账号、目标、动作、结果，缺失任一项都会削弱调查能力 |
| 时间同步 | 全网统一时间源，设备时间漂移会让事件顺序完全错乱 |
| 存储方式 | 集中存储加异地或独立介质备份，避免随主机一起损坏 |
| 容量与留存 | 按日均量与合规要求的留存期估算容量，并预留增长空间 |
| 日志保护 | 限制读写权限、防止操作人自行删除，必要时做完整性校验 |
| 采集方式 | 主动外送、集中拉取或经缓冲设备转发，视设备能力与网络隔离状况选择 |
建议优先覆盖的来源
- 区域边界设备：跨区通信的放行与拒绝记录，是事后还原访问路径的主力证据
- 集中接入与认证系统：把操作映射到具体人，是工控日志最有价值的一环
- 工控主机与服务器：登录、服务启停、程序启动与关键操作记录
- 网络设备配置变更：谁在什么时候改了网络结构，与配置备份配合使用
- 介质使用与门禁记录：物理接触与数据带入带出的时间线
- 工控软件自身的操作日志：程序下载、参数修改与工程变更，能直接对应到设备侧影响
来源与常见缺口
| 来源 | 关键记录 | 常见缺口 |
|---|---|---|
| 区域边界设备 | 放行与拒绝、会话起止 | 只记录不集中，设备轮转后丢失 |
| 认证与接入系统 | 登录人、时间、目标设备、会话录制 | 会话录制无人审查，实际未被使用 |
| 工控主机 | 登录、进程、服务与操作 | 主机侧日志未开启或从未导出 |
| 控制器与现场设备 | 故障与操作记录（能力依设备而异） | 设备本身能力有限，缺口需用网络侧补足 |
| 介质与门禁 | 使用人、时间、介质编号 | 纸质登记未电子化，无法检索与关联 |
| 时间源 | 统一时间同步 | 部分设备时间偏移，跨源关联失败 |
工控设备的日志能力普遍有限，把调查能力完全寄托在设备侧不现实。更可行的思路是让网络与接入侧承担主要留痕职责：即使控制器本身不记录，边界设备的通信记录与集中入口的会话记录也能还原出「谁在什么时候连接了哪台设备、待了多久」。