第2章：审计日志基本概念
说实话，我在做等保测评的项目里，见过太多团队一上来就追着工具跑。日志呢？先开了再说。结果等真正做审计的时候，发现全是垃圾日志——要么缺关键字段，要么时间戳对不上。
嗯，咱们先把基础打牢。审计日志到底是什么，能干啥，怎么分类。搞清楚这些，后面搭方案才不会跑偏。
2.1 审计日志的定义
审计日志，简单说就是信息系统里所有「谁在什么时间、从哪、做了什么事」的电子记录。它不是为了排障用的排错日志，而是为了事后追溯、责任认定、合规检查。
我个人习惯把审计日志盯成三条核心线：
- 主体：谁做的（用户ID、IP、终端）
- 客体：对什么做的（文件、数据库、接口）
- 动作：做了什么（增删改查、登录登出）
审计日志的关键是被设计来回答「如果出事了，能不能还原现场？」。不是所有日志都能当审计日志用。
2.2 审计日志的作用
为什么等保2.0对审计日志要求这么细？我来列几条实际价值：
- 合规驱动：等保二级起就要求留存180天日志，三级以上要求审计记录保护、时间同步。没有日志，测评直接扣大分。
- 异常发现：登录失败暴增、非工作时段操作、特权账号异常行为——日志里全有痕迹。
- 事件溯源：出了安全事件，日志是唯一的现场证据。我在一次应急响应中，就靠审计日志锁定了内网失陷主机，三天排查变成两小时搞定。
- 责任认定：有人删除核心数据，是不是内部人员？审计日志能证明谁干的、什么时候干的，赖不掉。
避坑指南：我曾经遇到一个客户，日志倒是满了180天，但是缺了时间戳的时区信息。服务器在北京时间，日志记录的是UTC，一比对全乱套。所以我在设计日志格式时，一定会强制定义时区字段。
2.3 审计日志的分类
在等保2.0里，审计日志通常分成三大类。你以为只是名字不同？其实采集点、存储策略、保护级别都不一样。我帮你理清楚。
| 分类 | 来源 | 审计内容 | 典型案例 | 等保关注点 |
|---|---|---|---|---|
| 系统日志 | 操作系统、数据库、中间件 | 用户登录、服务启停、权限变更、系统事件 | Windows Event Log、Linux /var/log/secure | 开启审计策略，记录所有管理员操作 |
| 应用日志 | 业务系统、Web服务、API网关 | 业务操作、交易记录、数据访问、异常请求 | Nginx access.log、ERP系统的操作日志 | 记录关键业务动作，防止SQL注入等攻击留痕 |
| 安全日志 | 防火墙、IDS/IPS、WAF、堡垒机 | 入侵检测、病毒告警、访问控制拦截、VPN连接 | 防火墙会话日志、WAF攻击日志 | 必须留存原始安全事件，用于威胁分析 |
你想想看，这三个层面的日志如果只采集了其中一个，审计效果直接减半。系统日志告诉你谁登录了，应用日志告诉你他操作了什么数据，安全日志告诉你有没有外部攻击。三者缺一不可。
三种日志的关系
我在做等保整改时经常画一张图来跟客户解释：系统日志是底座，应用日志是业务核心，安全日志是外围防护。它们像三层洋葱，一层包一层。
三类日志的典型采集场景
等保测评时，我经常被问到：有没有必要把操作系统、数据库、业务系统全部纳入审计？答案是要看系统定级。二级系统至少覆盖系统日志和安全日志；三级以上必须全覆盖。
重要提示：等保2.0要求系统日志和应用日志的时间戳必须同步到同一个NTP服务器，否则审计时时间对不齐，违法认定就是废纸。我见过一个数据库审计记录比应用日志慢了8分钟，事后溯源完全对不上，这个坑大家一定要避开。
好了，到这里你应该清楚审计日志是什么、为什么重要、怎么分类。后面几章咱们会深入每类日志的具体配置要点和合规要求。一口吃不成胖子，先把地基打稳。