会话日志记录什么
会话日志按连接记录五元组、起止时间、持续时长、双向字节数与动作，是粒度最细的审计数据，能直接回答谁在什么时候访问了什么、传了多少数据。代价是数据量与会话数成正比，所以通常只对关键区域或关键资产开启，普通区域用流量统计替代。
基本信息
| 记录内容 | 五元组、起止时间、持续时长、字节数、动作 |
|---|---|
| 数据量 | 与并发会话数成正比，高并发环境可达每天数十 GB |
| 开启策略 | 关键区域与关键资产开启，普通区域用流量统计替代 |
| 配套条件 | 需结合 NAT 映射表才能还原真实源地址 |
典型使用场景
- 安全事件溯源：查某主机某时段与谁通信过
- 数据外传评估需要会话级流量大小
- 合规要求对关键区域做访问审计
- 排查异常外连（长连接、异常目标）
- 用会话统计推算峰值容量
开启策略示例
开启策略示例
# DMZ 与互联网之间：开启会话日志，用于攻击溯源
# 内网出口：流量统计采样 + 关键会话单独保留
# 内网互访：按资产重要性选择性开启
# 开启前先估算日增量：并发会话数 × 单条记录大小 × 会话更换频率日志类型对比
| 类型 | 粒度 | 数据量 | 典型用途 |
|---|---|---|---|
| 会话日志 | 每条连接 | 高 | 溯源、审计、异常连接分析 |
| 流量统计 | 聚合统计（NetFlow/IPFIX） | 中 | 流量画像、容量规划 |
| 威胁日志 | 规则命中事件 | 低 | 告警研判、事件回溯 |
全量会话日志在高并发环境可达每天数十 GB：先估算日增量再开启，避免设备与日志平台同时过载、两边一起丢日志。
会话日志里的源地址可能是 NAT 转换后的地址，要结合 NAT 映射与会话表还原真实主机，否则溯源会指向设备自己。