三个层次的日志
第一层是协议连接与操作日志，记录谁在什么时候建立了会话、进行了哪些操作；第二层是文件系统层的访问审核，记录对具体文件的读写与权限变更；第三层是存储设备自身的审计，记录共享与卷级别的事件。只开第一层，能知道有人登录但不知道他动了哪些文件；只开第二层，往往缺少来源主机信息。要形成完整证据链，需要选定范围并让三层日志的时间基准一致。
基本信息
| 适用平台 | Windows 文件服务器、Samba、NAS 设备 |
|---|---|
| Samba 侧 | 审计相关模块与日志级别配置 |
| Windows 侧 | 审核策略与文件系统审核项、事件日志 |
| 集中收集 | 转发到日志平台，避免只留本地 |
| 保留策略 | 按合规要求确定保留周期与访问控制 |
日志来源与用途
| 来源 | 记录内容 | 主要用途 |
|---|---|---|
| 协议层访问日志 | 会话、打开、读写、重命名 | 回答谁动了哪个文件 |
| 服务端事件日志 | 连接、协商、认证事件 | 定位连接与认证类问题 |
| 文件系统审核 | 具体对象的访问与权限变更 | 合规与责任追溯 |
| 存储设备审计 | 共享与卷级操作 | 设备侧变更留痕 |
| 客户端日志 | 本地访问失败与缓存问题 | 区分客户端与服务端问题 |
开启与采集示例
开启与采集示例
# Samba：按需启用审计模块，只作用于敏感共享（参数以版本文档为准）
# vfs objects = full_audit
# full_audit:prefix = %u|%I|%m
# full_audit:success = connect open unlink rename write
# 集中转发：把服务日志送到日志平台
tail -n 5 /var/log/samba/audit.log 2>/dev/null
# Windows：查看审核策略与相关事件
Get-WinEvent -LogName Security -MaxEvents 20 | Select-Object TimeCreated,Id
auditpol /get /category:* | Select-Object -First 20对全部分享开启完整的文件访问审计会产生海量日志：磁盘被日志写满、日志平台被打爆、存储性能下降都是常见后果。正确做法是先明确审计目标（哪个目录、哪类操作），只在必要范围内开启，并核对日志量增长。
日志可追溯的前提是时间一致与身份可辨识。所有文件服务器与客户端应统一时间源，日志中应保留账号与来源地址；只记录本地时间与昵称的日志在跨机排查时几乎无法关联。