PCI DSS 需求10：日志记录，六个子要求全解析
好，咱们直接进入正题。PCI DSS 需求10，说白了就是教你怎么做好日志。别小看这步，我见过太多安全事件，事后复盘时发现日志不全或者根本没记，那叫一个抓瞎。
我个人习惯把需求10拆成两大部分来看：记什么 和 怎么管。六个子要求正好覆盖了这两个维度。咱们一个个捋。
10.1 建立审计追踪
这条是总纲。它要求你建立一套审计追踪机制，确保所有对系统关键行为的访问和操作都有据可查。
嗯，这里要注意，它强调的是“建立”。不是让你买个工具就完事了，而是得真正跑起来。我在项目中遇到过一家客户，买了个日志系统，结果没配置采集范围，大部分关键事件都没进去，形同虚设。
10.2 记录事件细节
这一条列出了具体要记什么。拿张表给你看，最清楚：
| 一级类目 | 具体事件 | 我的补充 |
|---|---|---|
| 访问控制 | 所有对 CDE 内系统的访问 | 包括成功和失败的登录 |
| 特权账户的操作 | 这些人是重点监控对象 | |
| 审计日志自身的访问 | 防止日志被篡改 | |
| 数据操作 | 创建、读取、更新、删除持卡人数据 | CRUD，一个都不能少 |
| 导出或传输持卡人数据 | 包括邮件、FTP、移动存储 | |
| 系统变化 | 权限提升、添加新用户、安装软件 | 任何导致安全基线漂移的操作 |
你想想看，如果连谁在删卡号数据都查不到，那还怎么溯源？我建议你在设计日志字段时，至少要包含用户ID、事件类型、时间戳、来源IP、目标资源、结果状态这六项。
10.3 保护日志完整性
这条是防篡改。日志记录完，不能让人随便改。我曾经有个客户，部署了日志服务器，但没做访问控制，审计员进去后，发现自己能随手删掉几条失败登录记录……那场面，尴尬极了。
常见的做法包括：
- 日志文件设置为只追加模式，禁止修改或删除历史记录。
- 使用哈希链或数字签名，确保每条记录都能被验证。
- 对日志存储路径和文件本身设置严格的权限，只允许日志进程写入，审计员只能读取。
10.4 及时审查日志
记了不看，等于没记。这条要求你定期审查日志，发现异常。但 “及时” 是多快？PCI DSS 没给死数字，但我建议至少每天看一次关键系统的特权操作日志。
在项目中，我更推荐用 SIEM 工具做自动关联分析。靠人工翻日志，一天翻个几万条，眼睛都得看瞎。我曾经帮一家银行部署了实时告警规则，只要检测到 DBA 在非工作时间批量导出卡号，立刻触发工单响应。这才是 “及时” 该有的样子。
10.5 安全保留日志
这个就是我们课程的核心了。需求10明确要求：日志至少保留 12个月，其中最近 3个月 要能实时检索。为什么这么定？
- 12个月：用来应对年度审计、取证调查和合规检查。很多攻击活动是小偷小摸持续好几个月，你至少要有回查一年的能力。
- 3个月在线：考虑到存储成本和安全分析的及时性，最近3个月的日志必须能快速查询。
要注意，这里的“安全保留”包括防止日志被意外删除或存储介质损坏。我建议冷热分层设计：
| 层级 | 保留时长 | 存储介质 | 检索速度 |
|---|---|---|---|
| 热层 | 0-3个月 | SSD或高速磁盘阵列 | 秒级 |
| 温层 | 4-12个月 | 普通SATA磁盘或云对象存储 | 分钟级 |
| 冷层 | 12个月以上（可自愿） | 磁带或低成本冷归档存储 | 小时级 |
记住，不管放哪，都得加密。我见过不少甲方，拿着一年份的日志备份发愁，因为忘了加密，结果没法合规出示。
10.6 日志同步时间
最后这条，很关键但容易被忽略。它要求所有日志来源必须使用同一标准时间源，并进行同步。为啥？因为只有时间戳对齐了，你才能在跨系统分析时拼出完整的攻击时间线。
我在一次复盘中，发现 A 系统记录攻击发生时间是 14:01:02，但 B 系统的告警却是 13:59:30。一查，B 系统慢了 1 分 32 秒。那场溯源花了整整两天在手动对齐时间差上，太坑了。
建议做法：
- 搭建内部 NTP 服务器，所有服务器、网络设备和安全设备统一同步。
- 配置日志格式时，强制要求包含时区信息，避免跨时区误解。
- 定期执行时间偏差检查，偏差超过 1 秒就要告警。
好了，六个子要求讲完了。下面我把它浓缩成一个整体结构图，你一看就明白它们之间的逻辑关系。