📚 课程目录第2章审计日志基础概念

审计日志基础概念：事件、记录、审计策略、日志级别

学审计日志之前，得先把地基打稳。今天咱们聊聊四个最核心的概念：事件、记录、审计策略、日志级别。这四个词很多人天天挂在嘴边，但真到排查问题的时候，往往分不清“谁是谁”。我自己刚入行那会，就吃过这个亏。

事件就是系统中发生的“一件事”。比如用户登录、文件删除、防火墙规则变更，这些都属于事件。事件本身只是一个信号——有人按了门铃，但不知道是谁按的、按了几次。

事件有几个关键属性：

有一次我排查一个半夜的数据库异常登录，发现事件时间戳差了几分钟。后来才发现，服务器时钟没同步NTP。从此我每个项目都要求必须配NTP服务。

事件只是“发生了”，记录才是“被写下来的证据”。一条完整的审计日志记录，就是事件的结构化快照。

一条标准记录通常包含以下字段：

我习惯把记录想象成“案发现场的照片”——必须保留完整上下文。少了其中任何一项，后面做取证分析就会很痛苦。

系统每秒可能产生成千上万的事件。全都记下来？磁盘会爆炸。什么都不记？出了事你连根毛都找不到。这时候就需要审计策略。

审计策略就是一组规则，告诉你：哪些事件要记，哪些忽略，记到什么粒度。

举个例子：

策略配置示例（Windows 安全策略风格）
- 审核登录事件：成功+失败
- 审核文件访问：仅失败
- 审核进程创建：成功
- 审核策略更改：成功+失败
- 审核系统事件：失败

策略不是越全越好。有一次我帮客户做审计改造，他们把文件访问的成功事件也全部打开。结果一天产生3TB日志，存储扛不住，查询慢成龟速。最后我们只保留了“关键目录的失败事件”，成本降了90%。

注意：审计策略必须在安全需求和存储成本之间找平衡。建议先做一次“业务场景分析”，再确定策略细则。

每个事件都有一个严重程度。日志级别就是这个严重程度的标签。最常见的分级遵循 Syslog 标准：

级别其实是用来做“过滤”和“告警”的。生产中一般只记录 INFO 及以上，DEBUG 只在开发环境或临时排错时打开。

  我个人用得最多的组合：审计策略配 WARNING 级别做实时告警，ERROR 以上立刻电话通知。INFO 日志留作事后复盘。这样既不错过关键问题，也不会半夜被骚扰。

这四个概念不是独立的。我画了一张关系图，你一看就明白：

级别选不对，日志要么太吵，要么太安静。我总结了一个简单取舍表：

我曾经踩过的坑：早期接手一个项目，前同事把几乎所有类别都配成“成功+失败+NOTICE”。每天380万条日志，查询几秒才能出结果。后来我把策略拆成两层：实时告警只查WARNING以上，离线归档才保存全量。排查效率提升了5倍。

事件是素材，策略是滤镜，级别是标签，记录是成品。这四个概念搞清楚了，后面学日志采集、存储、分析才会顺。接下来咱们就要上手实操了——先配置你手边第一个审计策略。