日志审计：出了事能溯源吗
导语：日志不是"开着就行"，能否在出事后还原"谁、在何时、做了什么"，才是审计的真正价值。
一、为什么要关注（背景与痛点）
数据被改、文件被删、配置被改——出了事第一句话往往是"查日志"。但很多单位的日志要么没开，要么开了却查不出有用信息：只记了 IP 没记账号、只记了操作没记对象、日志保留 7 天就被覆盖。某政企单位遭遇误删核心目录后，因审计日志未覆盖文件操作且留存过短，最终无法定位责任人与时间窗。
日志审计既是等保2.0 三级的硬性控制点（重要用户行为、安全事件须被记录且留存不少于 6 个月），也是事后溯源、责任认定、合规取证的基础。
二、核心原理 / 关键概念
- 审计五要素：谁（账号/身份）、何时（时间戳，须时间同步）、何地（来源 IP/终端）、做了什么（操作类型）、对象是什么（文件/记录/配置）。缺任一要素都难溯源。
- 时间同步：所有设备指向同一 NTP 源，否则日志时间对不上，跨设备串联失效。
- 日志分级：系统日志、安全日志、应用日志、操作日志，关注点不同，须分类采集。
- 防篡改（WORM）：审计日志应只读或集中存储防改，否则"攻击者顺手改了日志"会让溯源失真。
- 集中采集：分散在各设备的日志汇总到日志服务器/审计中心，统一检索与留存。
三、落地做法 / 操作步骤
- 开全关键审计项：操作系统审计、应用操作审计、文件访问审计、数据库操作审计逐项开启。
- 统一时间源：部署 NTP，所有服务器/NAS/应用指向同一时间服务器。
- 集中归集：把各源日志转发到集中日志平台（如 syslog 汇聚），统一格式便于检索。
- 设留存策略：按合规要求设留存期（三级不少于 6 个月），到期限归档而非直接删。
- 权限隔离：审计日志的读写权限独立，运维人员可看不可改，管理员操作也被记录。
- 定期演练溯源：模拟"某文件被删"，走一遍检索流程，验证五要素是否齐备。
日志审计检查清单
- 操作/文件/数据库审计均已开启
- 全量设备时间已统一（NTP）
- 日志集中归集且可统一检索
- 留存期满足合规（≥6个月）
- 做过溯源演练，五要素可还原
四、与群晖NAS / 信创云盘的对应能力
文件与数据层的操作溯源可直接落地：
- 信创云盘：记录文档的访问、下载、修改、分享、删除等行为，包含操作人、时间、对象，并支持统一检索与按期限留存，对应"操作日志可溯源"；日志独立存储、防篡改，满足审计完整性。
- 群晖NAS：如 DS925+、DS1525+、DS1825+ 等型号，提供文件访问与系统操作日志，可开启共享文件夹审计，把日志转发到集中 syslog 服务器统一留存；结合快照还能在溯源后快速恢复到被改前状态。
- 两类方案把"文件去了哪、被谁动了"变成可查记录，是出事后能说清"发生了什么"的关键。
五、常见误区 / 避坑提醒
- 只开系统日志不开操作日志：系统层看得到登录，看不到"谁删了哪个文件"。
- 时间不同步：设备各走各的时钟，跨设备串联时顺序全乱。
- 留存太短：覆盖周期短于合规要求，事后无据可查。
- 日志可随意改：运维能改日志，溯源结果不可信。
- 从不演练：平时不查，出事才发现关键字段缺失，为时已晚。
六、小结与行动建议
日志审计的及格线不是"开了"，而是"出事后能还原五要素"。建议先把时间统一、把操作审计开全、把日志集中留存够长，并每季度做一次溯源演练。等真的出了事，你手里才有能用的证据，而不是一堆看不出名堂的流水。