NAT 日志的审计价值是什么
在使用 PAT（端口复用）的网络里，成千上万个内网主机共用少数公网地址，同一公网地址在不同时间对应不同内网主机与端口。因此当外部通报某个公网 IP 出现违规访问时，唯一能定位到具体内网主机的依据就是 NAT 日志中「转换前地址:端口」与「转换后地址:端口」的对应关系。日志缺少端口字段，这条链路就断了。
基本信息
| 必备字段 | 内网 IP 与端口、公网 IP 与端口、目的 IP 与端口、时间 |
|---|---|
| 辅助信息 | 协议、规则名称、设备标识、会话起止时间 |
| 典型场景 | 事件溯源、用户行为核查、监管通报响应 |
| 配套数据 | DHCP 租约记录、认证与准入系统日志 |
| 留存要求 | 按合规要求设定留存周期，日志本身要防篡改 |
典型使用场景
- 监管或合作方通报某公网地址存在异常访问，需要反查具体内网主机
- 安全事件复盘：从告警中的公网地址回溯到内网终端与使用人
- 上网行为核查：按时间窗口查某台终端的对外通信记录
- 多出口环境定位：确认某次访问走的是哪个出口与哪个地址池
- 地址池规划：分析端口复用率，判断是否需要扩容公网地址
- 合规检查：验证 NAT 日志字段完整性是否满足审计要求
联动核对
联动核对
# 1. 从通报信息中取出公网 IP 与端口，以及时间范围
# 2. 在 NAT 日志中检索该公网 IP:端口，得到内网 IP 与端口
# 3. 用时间点查 DHCP 租约，确认对应终端
# 4. 结合认证与准入系统确认该时段的使用人
# 5. 交叉核对终端侧日志，形成完整证据链
# 6. 结论与依据一并归档，注明查询时间与执行人字段与用途
| 字段 | 用途 | 缺失后果 |
|---|---|---|
| 内网 IP 与端口 | 定位内部主机与会话 | 只能定位到网段，无法定位到设备 |
| 公网 IP 与端口 | 与外部通报信息比对 | 无法把外部线索与内网记录对上 |
| 目的地址与端口 | 确认访问目标与性质 | 难以判断是否为同一次事件 |
| 时间戳 | 确定时间窗口 | 无法关联 DHCP 与认证记录 |
| 协议 | 区分 TCP/UDP 会话 | 端口复用场景下可能匹配到多条记录 |
只有 NAT 日志而没有 DHCP 与认证记录时，IP 与终端、使用人之间仍然是断开的，完整的溯源体系需要这几类数据配套保留。
日志保存周期短于监管或内部制度要求时，事件发生一段时间后再来核查往往已经查不到记录。