第3章：日志文件结构与存储
日志文件的结构，说白了就是审计数据落地的模样。你天天跟PKCS-11打交道，日志要是乱糟糟的，出问题你根本找不着北。
我刚开始做HSM运维那阵子，最头疼的就是日志。几十G的文件，打开一看全是乱码。嗯，后来才搞明白——原来日志格式选错了，工具链完全对不上。所以这一章，咱们就把文件格式、轮转策略和存储位置讲透。
3.1 文件格式：文本 vs 二进制
PKCS-11 审计日志常见的格式就两种：文本和二进制。各有各的脾气。
| 对比维度 | 文本格式 | 二进制格式 |
|---|---|---|
| 可读性 | 直接 cat 就能看 | 需要专用解析工具 |
| 存储体积 | 较大（约多30%-50%） | 紧凑，节省空间 |
| 解析速度 | 较慢（每次都要文本解析） | 极快（结构固定） |
| 跨平台兼容 | 极好（任何系统都能读） | 需要处理字节序问题 |
| 安全风险 | 易被修改伪造 | 可加校验，防篡改更强 |
| 常见场景 | 调试、开发环境 | 生产环境、合规审计 |
我的经验：开发阶段用文本格式，方便 grep 和 awk。上了生产必须切二进制，尤其是FIPS 140-2/3认证过的HSM，二进制日志才是合规的。我曾经在一个金融客户的现场调试，就因为日志是文本的，被合规审计卡了三天。
文本格式每条记录一行，字段之间用分隔符隔开。像这样：
2026-03-15 14:23:01 | C_Login | USER | slot=1 | session=1024 | result=OK
2026-03-15 14:23:05 | C_SignInit | slot=1 | keyLabel=HSM_Key_01 | session=1024 | result=OK
2026-03-15 14:23:10 | C_Sign | slot=1 | dataLen=256 | session=1024 | result=OK二进制格式用TLV（Type-Length-Value）结构。每条记录固定部分+可变部分。解析的时候逐字节读，性能高得不是一星半点。
注意！千万不要在生产环境用文本格式保存全部日志。你想想看，每秒几千次C_Sign，文本日志分分钟把磁盘打爆。我曾经见过一个案例，生产环境开着文本日志没轮转，三天撑爆了50GB /var分区，HSM直接服务降级了。
3.2 日志轮转策略
轮转是个老话题了，但在HSM/PKCS-11场景下，有几个点特别需要注意。
3.2.1 按大小轮转
最常用。设置一个阈值，比如200MB。文件超了就把当前文件改名归档，新建一个写。
# logrotate 配置示例（参考）
/var/log/hsm_audit/*.log {
size 200M
rotate 20
compress
delaycompress
missingok
notifempty
copytruncate
}copytruncate 这个参数很关键。它在不中断PKCS-11服务句柄的情况下复制文件内容再截断。我建议你务必保留这个参数，否则会丢日志句柄。
3.2.2 按时间轮转
每天/每小时生成一个新文件。适合合规需求严格的场景，比如PCI-DSS要求保留一年内的所有日志。
# 按天轮转
/var/log/hsm_audit/audit.log {
daily
rotate 365
compress
dateext
dateformat -%Y%m%d
missingok
}
实际经验：我建议做混合策略——同时设置大小和时间阈值，哪个先触发就轮转。比如每天轮转，但如果某天流量特别大，大小先达到就提前转。这能避免单个文件过大导致日志解析工具崩溃。
3.2.3 轮转后的保留策略
日志不是越多越好。保留期要跟监管要求对齐。
- PCI-DSS：至少保留1年，在线可查3个月
- GDPR：存了就要能删，用户要求删除时必须能精准清除
- SOX：7年保留期，建议冷存储归档
- 国密GM/T 0028：HSM审计日志至少保存6个月
嗯，这里要注意。轮转和删除是两码事。轮转是把当前文件归档，不是删。删是过期策略。你想想看，生产环境上如果轮转策略配错了，直接删了日志，出事就是大麻烦。
3.3 存储位置
日志放哪儿？这个问题看似简单，但我见过太多翻车现场。
| 操作系统 | 默认路径 | 说明 |
|---|---|---|
| Linux / Unix | /var/log/hsm/ 或 /var/log/security/ | 符合FHS标准，权限隔离好 |
| Windows | %PROGRAMDATA%\Thales\LunaSA\logs\ | 或具体HSM厂商目录 |
| 嵌入式HSM | /flash/logs/ 或 /ramdisk/logs/ | 小心flash写入次数 |
我个人习惯把审计日志和系统日志分开放。PKCS-11审计日志是证据链，跟系统日志混在一起，被rotate掉了多冤。
不能做的事：把日志放在HSM所在的分区（比如
/opt/hsm/）或者系统根分区 /。日志涨满导致HSM写不进去，直接影响签名/加密服务。我曾经在项目验收那天，客户那边HSM突然报错，一查就是/var满了，日志把磁盘塞得严严实实。那场面，嗯……不太好看。
3.3.1 推荐的存储架构
- 本地缓冲： 放在独立的分区，比如
/var/log/hsm_audit/，挂载时指定noexec,nosuid增强安全 - 远程归档： 用syslog/syslog-ng或fluentd实时传到远程日志服务器，防止单点故障
- 只读备份： 轮转后的归档日志，WORM（Write Once Read Many）存储，比如刻录光盘或对象存储的不可变桶
小技巧：我建议你在HSM上配多个日志目标。比如写到本地一份，同时通过网络发送给SIEM系统。两路独立，一路挂了还有另一路。死一个不要紧，两个都死概率就低很多了。
3.3.2 权限与访问控制
审计日志不能被普通操作员删改。一般建议：
- 日志文件 owner 是
hsmadm或syslog - group 设置为
hsmgroup，只能审计员读取 - 权限
640或600，坚决不要 777 - 使用
chattr +a（Linux）设置仅追加属性，防止被 truncate
说白了，日志文件结构就是个系统工程。格式选不对，工具跟不上；轮转配不好，磁盘撑不住；位置放错了，安全过不了。每一步都关系到你喝茶还是加班。