日志周审是什么
日志例行周审是每周固定抽一段时间，把安全设备与日志平台上的关键记录看一遍：设备健康事件、管理操作、威胁告警趋势、登录审计。它的价值不在于每次都发现惊天事件，而在于把日志从存着的字节变成被消费的信息，同时顺带检验日志链路本身是否健康——收不到日志的设备，往往要靠一次人工周审才会被发现。
基本信息
| 范围 | 防火墙/IPS/WAF 的系统事件、管理操作、威胁告警、登录审计 |
|---|---|
| 输入 | 设备本地日志加集中日志平台的检索结果 |
| 方法 | 按设备与事件类型使用固定查询，重点项人工确认 |
| 输出 | 周报：统计、异常项、处置跟踪、未闭环清单 |
| 时间 | 每周固定时段，避开变更窗口结束后立即执行 |
典型使用场景
- 核实管理登录失败来源：判断是否存在针对管理口的爆破尝试
- 把配置变更记录与变更单逐笔对照：发现未走流程的改动
- 看威胁告警环比趋势：突增时判断是业务变化还是真实攻击
- 跟踪上周期未闭环项：避免同一问题在周报里循环出现
- 验证日志链路健康：某设备连续无日志本身就是链路故障信号
周审固定查询项
周审固定查询项
# 管理面：登录失败来源与次数分布，按来源 IP 排序
# 配置面：本期配置变更条数与操作人，与变更单逐笔对照
# 威胁面：告警量按规则取 TOP10，并与上一周期环比
# 链路面：各设备最近一条日志时间，超过阈值未更新即视为异常
# 结论栏：异常项 -> 责任人 -> 计划完成时间，写入周报模板周审观察项与判读
| 观察项 | 正常表现 | 异常表现 |
|---|---|---|
| 登录失败来源 | 少量且来自管理网段 | 大量且来自公网或陌生网段 |
| 配置变更记录 | 与变更单逐笔对应 | 存在无人认领的改动 |
| 告警量环比 | 波动在合理区间 | 同类告警突增数倍 |
| 设备日志到达 | 各设备均有当期记录 | 某设备长时间无日志 |
周审要留痕：把每周的查询条件、结论与待办写进同一份模板，季度汇总时趋势才可比，否则只是每周重新看一遍。
设备本地日志容量有限、只保留滚动窗口；周审优先在集中日志平台检索，本地日志留给设备离线等平台收不到的场景。