日志平台为什么要加固
日志平台是安全体系里的高价值目标：它集中保存全网日志，一旦被入侵，攻击者相当于拿到完整的内网情报，还能删除或篡改对自己不利的记录。因此平台自身的安全等级不应低于它所收集日志的设备，措施包括最小化暴露面、强认证、组件漏洞及时修补、账号治理，以及配置与数据的双备份。
基本信息
| 主要风险 | 平台被入侵等同攻击者掌握全部日志，并可删除痕迹 |
|---|---|
| 加固措施 | 最小暴露、强认证、组件及时修补、账号治理 |
| 备份 | 配置与数据双备份，并做恢复验证 |
| 定级原则 | 平台安全等级不低于其收集日志的设备 |
典型使用场景
- 平台上线前：按内网可达、强认证、来源限制逐项加固
- 日常运维：跟踪组件版本与漏洞公告，及时修补
- 账号治理：定期复核平台账号与权限，清理闲置账号
- 暴露面收敛：确认管理接口与查询接口未暴露在公网
- 应急预案：平台被入侵时的隔离、取证与重建步骤
加固清单
加固清单
[ ] 平台仅在内网或管理网可达，禁止公网直接访问
[ ] 强口令加多因素认证，管理账号单独管控
[ ] 组件版本及时修补，关注所依赖中间件的漏洞公告
[ ] 管理接口访问来源受限，仅允许运维网段
[ ] 配置与数据定期备份，并做过恢复验证
[ ] 账号与权限定期复核，人员变动后及时回收风险与措施
| 风险 | 后果 | 措施 |
|---|---|---|
| 公网暴露 | 被爆破或被利用组件漏洞 | 限制来源，仅管理网可达 |
| 弱认证 | 账号被撞库后登录 | 强口令加多因素认证 |
| 组件漏洞 | 未修补的系统被直接利用 | 订阅公告并及时升级 |
| 无备份 | 数据被删后无法恢复 | 离线备份加恢复演练 |
平台被入侵后最大的问题是信任崩塌：攻击者能删改日志，因此重要日志应有平台管理员无法篡改的异地留存副本。