完整性威胁来自哪里
日志缺失、被篡改、被删除，这三种情况都会让审计结论站不住。完整性保护针对的就是这三种可能：用集中外发避免采集中断，用只追加写入与权限分离防止篡改，用只读归档与哈希校验留下可比对的依据。手段不必都复杂，但权限分离这一条做不到，其他措施基本等于白做。
基本信息
| 主要威胁 | 日志被删改、采集中断、存储介质故障 |
|---|---|
| 核心手段 | 集中存储、只追加写入、权限分离、只读归档 |
| 辅助手段 | 周期性哈希校验与抽查比对 |
| 权限设计 | 采集账户只写不删，审计账户只读 |
| 验证要求 | 定期抽查并比对哈希，结果留档 |
| 责任分工 | 日志平台管理员与设备管理员分离 |
典型使用场景
- 合规审计要求证明日志未被篡改
- 事件调查需要可信的时间线依据
- 排查日志缺失：是没产生还是被删掉了
- 整改平台管理员权限过大的问题
- 设计归档存储的只读与保留策略
保护措施示例
保护措施示例
1. 服务器侧按来源分目录，仅采集账户可写 # 权限
2. 归档卷设置为只读或一次写入 # 防篡改
3. 关键日志做周期性哈希记录，校验值异地保存 # 可验证
4. 平台自身操作留审计日志，记录查询与导出行为 # 可追溯
5. 定期抽查日志连续性与哈希结果并归档 # 验证保护手段与针对的威胁
| 手段 | 针对的威胁 |
|---|---|
| 集中外发存储 | 设备本地日志被覆盖或丢失 |
| 只追加写入 | 事后修改日志内容 |
| 权限分离 | 内部人员删改日志 |
| 哈希校验 | 无法验证内容是否被动过 |
| 归档保留策略 | 超期后被无意删除 |
审计员账号设为只读，避免自审自改：权限授予与结果核查由不同角色承担，结论才可信。
采集账户同时拥有删除权限时完整性无法保证：一次误操作或恶意行为就能抹掉整段时间的记录。