留存要求管的是什么
威胁告警、阻断记录与关键配置变更日志都属于安全审计数据，它们证明「当时发生了什么、系统按策略做了什么」。留存要求包含三个维度：存多久（合规周期）、存得完整吗（外发是否中断、是否被篡改）、取得出来吗（能否按时间、地址、规则检索）。三者缺一，留存就只是存了数据而已，需要时用不上。
基本信息
| 留存对象 | 威胁告警、阻断记录、配置变更与登录日志 |
|---|---|
| 留存周期 | 按内部制度与行业规范确定，常以月或年计 |
| 完整性 | 日志持续外发无中断，缺口要有记录说明 |
| 可检索性 | 可按时间、IP、规则、设备维度检索 |
| 保障手段 | 日志服务器容量、备份与访问控制 |
| 验证方式 | 定期做一次真实检索与恢复演练 |
典型使用场景
- 合规检查或审计时提供历史威胁事件记录
- 事件回溯：确认数周或数月前是否出现过同类攻击
- 误报统计与规则优化：依据历史命中数据做评估
- 应对监管问询：提供完整时间段的记录
- 容量规划：按数据增长趋势预估存储与保留周期
留存检查
留存检查
1. 日志持续外发无中断，缺口有记录 # 完整性
2. 存储容量满足整个留存周期要求 # 容量
3. 可按时间、IP、规则检索到具体事件 # 可检索性
4. 备份与恢复演练已完成 # 可用性
5. 访问权限受控，导出与查看动作留痕 # 合规留存的三道关
| 维度 | 要求 | 常见缺口 |
|---|---|---|
| 时长 | 满足制度与行业要求的保留期 | 用本地缓冲当留存，重启即丢 |
| 完整性 | 外发不中断，缺口有说明 | 服务器故障期间数据丢失未记录 |
| 可用性 | 能快速检索并导出 | 存了但索引缺失，检索不出来 |
留存不等于可用：能在几分钟内检索到某天某个源地址的告警记录，才算有效留存。
设备本地日志缓冲会被滚动覆盖，不能作为合规留存手段；必须以集中外发与集中存储为主通道。