等保日志审计要求解读是什么
等级保护对日志的要求可以归纳成四件事：采集覆盖要全、留存时间要够、日志本身要防篡改、审计记录要能被检索使用。落地时最常见的落差不是「没做日志」，而是覆盖不齐（只收服务器不收网络设备）、留存周期不足、日志存在设备本地且任何人都能删。检查通常按具体时间点抽查，找不到那一天的记录就等于没有留存。
基本信息
| 覆盖范围 | 网络设备、安全设备、服务器、数据库、业务应用与账号系统 |
|---|---|
| 留存周期 | 按法规与行业制度要求设定，普遍关注不少于六个月 |
| 保护要求 | 防删除、防篡改、访问受控、操作留痕 |
| 记录内容 | 时间、账号、事件类型、操作结果与必要上下文 |
| 可检索性 | 按时间、IP、账号能快速查到对应记录 |
典型使用场景
- 年度检查前自检：抽查指定日期的日志，验证留存链路是否完整
- 新增系统上线：确认其日志已接入集中平台，而非只存在本机
- 留存空间规划：按设备数与日志量估算存储，避免到期前空间耗尽
- 权限梳理：明确谁可以查看、导出、删除日志，操作是否有记录
- 事件响应：按时间点回溯攻击链，验证关联所需字段是否齐备
- 制度落地：把日志采集范围与留存周期写进运维制度并明确责任人
自检清单
自检清单
# [ ] 重要系统与设备日志均已集中收集，无遗漏设备
# [ ] 留存周期满足法规与制度要求，并有抽查记录
# [ ] 日志访问权限受控，查看与导出操作有审计
# [ ] 日志平台本身有防篡改与备份机制
# [ ] 审计记录包含时间、账号、事件、结果四要素
# [ ] 抽查流程演练过：指定日期能在合理时间内查到常见缺口对照
| 要求 | 常见缺口 | 补齐方向 |
|---|---|---|
| 覆盖完整 | 只收服务器，网络与安全设备未接入 | 按设备清单逐一接入并核对在线状态 |
| 留存足够 | 留存周期不足或中途因空间停止 | 按量估算存储并设置容量告警 |
| 防篡改 | 日志可被管理员直接删除 | 集中存储、权限分离、操作留痕 |
| 可检索 | 日志未解析归一，无法按字段查询 | 建立解析规则与索引字段口径 |
| 内容完整 | 缺少账号或结果字段 | 调整外发字段配置并验证 |
检查方式通常是抽查而不是普查：指定一个具体日期与事件类型，看能否在合理时间内调出记录，这比看配置截图更能反映真实水平。
只收集不保护是无效的：日志能被管理员随意删除时，取证结论与合规要求都站不住脚。