| 留存对象 | IPS 告警、阻断记录、关键配置变更日志 |
|---|---|
| 常见要求 | 按内部制度与行业规范确定留存周期 |
| 保障 | 日志服务器容量、备份与访问控制 |
留存检查
留存检查
1. 日志持续外发无中断
2. 存储容量满足周期要求
3. 可按时间、IP、规则检索
4. 备份与恢复演练已完成留存不等于可用：能快速检索到具体事件才算有效留存。
威胁日志留存要求
威胁告警属于安全审计数据，需按合规要求留存足够时长，并保证完整性与可检索性。
易错点
- 设备本地日志滚动覆盖后无法满足留存要求，必须外发
- 日志服务器故障期间的数据缺口未做记录与说明
数据来源与参考
- GB/T 22239 等级保护基本要求（安全审计）
- NIST SP 800-92（日志管理）