NAT 日志与地址溯源

NAT 日志记录源地址、转换后地址与端口，是安全事件回溯到具体内网主机的依据，也是等保要求的审计数据。

关键字段	时间、内网源 IP 与端口、转换后公网 IP 与端口、目的地址、协议
留存要求	按内部合规要求留存（常见不少于 6 个月）
外发	syslog 发送到日志服务器或网管平台

检查项

1. NAT 日志是否开启并外发成功
2. 时间戳与统一时钟源同步
3. 抽一条记录，反向验证能否定位到内网主机
4. 日志服务器容量与保留周期复核

日志时间不同步会让多设备关联分析失去意义，NTP 是日志体系的前提。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌