首页/安全/安全设备配置速查/本地日志与外发日志配合

本地日志与外发日志配合

本地日志用于即时排障(查询快、量小),外发日志用于留存与关联;两者保留范围与级别可以不同。

安全设备配置速查安全更新于 2026-10-12
本地近实时查看、容量有限
外发长期留存、集中分析
策略本地保关键级别,外发保全量业务日志

配合策略示例

配合策略示例
本地:warning 及以上,滚动保留 7 天
外发:安全业务日志全量,系统日志 info 及以上
排障时先看本地(快),取证时用外发(全)。

易错点

  • 本地不留任何日志,排障只能依赖平台查询,效率低
  • 两端级别配置不一致,本地有外发无,审计出现缺口

数据来源与参考

  • NIST SP 800-92(日志存储策略)
  • 厂商日志管理文档(以厂商文档为准)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌