内网日志覆盖检查
检测能力的上限由日志覆盖决定：没有日志就没有追溯，事后既无法还原攻击路径，也无法判断影响范围。这项检查统计关键系统的日志采集覆盖情况、字段完整度、留存期与告警规则。关键系统包括域控、服务器、网络设备与安全设备；维度则要同时看采集、字段、留存与告警四项。要特别提醒的是，有日志但没有告警同样属于检测缺口：数据躺在平台里，事件发生时没有人被通知。
基本信息
| 对象范围 | 域控、服务器、网络设备、安全设备与业务系统 |
|---|---|
| 四个维度 | 采集覆盖、字段完整度、留存期、告警规则 |
| 产出物 | 覆盖矩阵与盲区系统清单 |
| 联动要求 | 日志覆盖与告警规则一并评估 |
典型使用场景
- 安全运营建设：评估现有日志能否支撑事件调查
- 合规检查：核验留存期是否满足监管与内控要求
- 事件调查：需要确认某类操作在哪些系统留有记录
- 盲区梳理：找出完全没有日志的关键系统
- 告警优化：把有日志但未配置告警的系统补上检测规则
检查思路
检查思路
1. 列出关键系统清单，按类别分组：域控、服务器、网络与安全设备
2. 逐类核对采集情况：是否接入日志平台，是否有断采记录
3. 核对字段质量：登录事件、进程与命令、网络流是否都有记录
4. 核对留存期与检索性能：能否支撑半年以上的回溯调查
5. 核对告警规则：高风险行为是否有对应告警与处置流程覆盖矩阵示例
| 系统类别 | 登录日志 | 进程与命令 | 网络流 | 留存期 |
|---|---|---|---|---|
| 域控 | 有 | 有 | 无 | 180 天 |
| 文件服务器 | 有 | 无 | 无 | 90 天 |
| 网络设备 | 有 | 无 | 有 | 90 天 |
| 安全设备 | 有 | 有 | 有 | 180 天 |
评估结论要落到缺口上：指出哪个系统缺哪类日志、留存是否不足、以及对应的补齐方式与优先级。