| 字段 | 内网 IP:端口、公网 IP:端口、目的 IP:端口、时间 |
|---|---|
| 场景 | 事件溯源、用户行为核查 |
| 配套 | 与 DHCP 记录联动定位设备 |
联动核对
联动核对
1. 从 NAT 日志取内网 IP 与端口
2. 查 DHCP 租约确认对应终端
3. 结合认证与准入系统确认使用人
4. 形成完整证据链没有 DHCP/认证记录时，仅靠 IP 难以定位到人，体系要配套。
NAT 日志的审计价值
PAT 场景下 NAT 日志是定位具体内网主机的依据；日志需含转换前后的地址与端口。
易错点
- 日志缺端口字段时 PAT 场景无法定位
- DHCP 租约记录缺失，IP 与终端对应关系断链
数据来源与参考
- GB/T 22239（安全审计）
- RFC 4787（NAT 行为要求）