日志外发是什么
安全设备自身的日志缓冲容量有限且随重启丢失，只有把日志外发到集中平台，才能满足留存周期、跨设备关联与审计要求。外发内容通常包括策略命中与丢弃日志、威胁日志（IPS/WAF/AV）、会话与 NAT 日志以及系统日志。外发的前提是设备与管理网、日志服务器之间网络可达，并明确日志级别与来源标识，否则收集端无法区分设备与类型。
基本信息
| 外发内容 | 策略日志、威胁日志、会话/NAT 日志、系统与审计日志 |
|---|---|
| 传输方式 | syslog（UDP 514 或 TCP）、部分厂商提供 API 推送 |
| 设备侧配置 | 华为/H3C 用 info-center 指定 loghost，AF 在控制台配置日志服务器 |
| 前提条件 | 管理网可达日志服务器，端口放行，时间已同步 |
| 安全建议 | 跨网段外发建议加密隧道或专网承载，避免明文日志泄漏 |
典型使用场景
- 合规留存：按内部与监管要求保存策略与威胁日志并定期检查完整性
- 安全运营：多设备日志集中关联，还原一次攻击的完整路径
- 地址溯源：NAT 日志把公网地址端口还原到具体内网主机
- 故障复盘：策略调整前后的命中与丢弃记录用于验证变更效果
- 容量规划：按日志量趋势提前扩容存储，避免写满导致丢日志
检查步骤
检查步骤
1. 确认设备到日志服务器连通（ping 与端口探测）
2. 设备侧开启日志外发功能并指定日志服务器地址
3. 设置发往服务器的日志级别与来源标识
4. 服务器侧确认收到日志并按设备与类型入库
5. 抽查一条记录，核对时间戳、源地址与设备标识是否正确外发故障对照
| 现象 | 可能原因 | 核对方法 |
|---|---|---|
| 服务器无日志 | 网络或端口不通 | 在设备侧 ping 并探测端口 |
| 日志缺失部分类型 | 级别或模块未开启 | 核对设备日志配置项 |
| 时间轴错乱 | 设备与平台时钟不同步 | 核对 NTP 状态与本地时间 |
| 日志内容截断 | UDP 报文过大被分片丢弃 | 改用 TCP 或调整发送格式 |
| 高峰丢日志 | 外发链路或写盘瓶颈 | 观察链路丢包与存储写入 |
关键设备建议 TCP 外发或启用带确认的传输方式，降低高峰时段丢日志概率；日志服务器自身故障要能告警，否则中断数天可能无人发现。