审计日志与留痕是什么
审计日志要回答四个问题：谁、在什么时间、对什么对象、做了什么。覆盖范围包括身份认证、权限变更、数据修改、配置调整与管理操作。有效留痕还需两个附加条件：集中收集防止单机丢失，访问受控并防篡改，否则日志本身就是可被清理的证据。
基本要求
| 记录范围 | 登录与认证、权限与角色变更、数据与配置修改、管理与运维操作 |
|---|---|
| 质量要求 | 完整、可关联到具体用户、时间准确、防篡改、访问受控 |
| 集中方式 | 统一采集到日志平台，保留原始时间戳与来源标识 |
| 留存期限 | 按行业与合规要求设定，常见为不少于六个月 |
典型使用场景
- 安全事件溯源：回溯异常登录与权限变更的完整链条
- 合规检查与等级测评：证明关键操作有记录且可核查
- 变更追责与复盘：确认某次配置调整由谁在何时执行
- 特权操作监督：管理员操作是否留痕并有人审阅
- 数据泄露调查：确认数据被访问、导出的时间与范围
关键日志清单示例
关键日志清单示例
身份系统：登录成功与失败、多因素认证变更、账号状态变更
数据库：特权登录、结构与权限变更、批量导出操作
云平台：控制台与接口调用审计流（操作人、资源、结果）
变更系统：发布、回滚与审批记录
跳板机：会话录像与命令记录
# 每类日志都要能关联到具体自然人，而不只是主机名日志类型与要点
| 类型 | 记录内容 | 留存考虑 |
|---|---|---|
| 认证日志 | 谁在何时从何处登录 | 留存周期与失败次数分析 |
| 权限变更 | 角色与授权调整前后 | 需与审批单关联 |
| 数据操作 | 增删改与导出行为 | 敏感表访问单独记录 |
| 管理操作 | 配置、发布、脚本执行 | 与变更工单对应 |
日志本身是证据，必须具备防篡改能力：只存本机、管理员可随意删除日志时，事后调查往往拿不出可信记录。