4. 审计策略制定：把范围、内容、频率和保留期限一次性说清楚
审计策略这个东西，说起来容易做起来头疼。我最早接手一个三级等保项目时，甲方客户问我：“你们帮我设个审计策略就行了呗？”我当时心里就咯噔一下——要是策略设不好，后面日志分析全是垃圾。你想想看，审计策略就像你给监控摄像头划定范围、设置录像参数一样，定错了要么漏拍，要么存储爆掉。
今天我把四个核心维度掰开揉碎讲给你听：审计范围、审计内容、审计频率、审计保留期限。这四样东西，少了任何一个，你的日志系统都是瘸腿的。
4.1 审计范围 —— 别漏了关键节点
审计范围说白了就是“哪些设备要记日志”。等保2.0三级系统要求覆盖所有网络边界设备、安全设备、核心服务器和重要应用。我自己习惯先画一张网络拓扑图，逐个设备打标签，然后对照等保要求清单。
我曾经见过一个客户，只给核心交换机开了审计，结果内部服务器被入侵了，日志里什么都没有——那台服务器压根没加进审计范围。避坑指南：物理机、虚拟机、容器环境、云主机、网络出口、安关、数据库，一个都不能少。
| 设备类型 | 必须覆盖 | 常见遗漏点 |
|---|---|---|
| 网络设备 | 核心交换机、边界路由器、防火墙 | 无线控制器、VPN网关 |
| 安全设备 | IDS/IPS、WAF、堡垒机 | 漏洞扫描器、日志审计系统自身 |
| 主机系统 | Windows/Linux服务器、数据库服务器 | 容器宿主、虚拟化平台（vCenter） |
| 应用系统 | Web服务器、中间件、API网关 | 消息队列、缓存、反向代理 |
4.2 审计内容 —— 不是什么都记，而是记关键信息
很多新手工程师容易犯的错：把所有日志全量打开。结果一天几十GB，查询慢得像蜗牛。等保2.0明确要求记录用户身份、操作时间、操作类型、操作结果、源目标IP这五个要素。但光有这五个还不够——我建议你再加上操作对象、原始命令、返回码。
举个例子，一个登录失败的日志，如果只记“登录失败”，你根本不知道是哪个用户、从哪来的、尝试了什么密码。所以审计内容要细化到以下维度：
- 身份认证类：登录成功/失败、登出、超时、账号锁定
- 权限变更类：用户创建/删除/禁用、角色修改、权限提升
- 系统操作类：进程启动、服务停止、系统重启、文件权限修改
- 网络行为类：连接建立、连接拒绝、端口扫描、数据包过滤规则命中
- 应用访问类：URL访问、API调用、数据库查询（DDL/DML）、文件上传/下载
4.3 审计频率 —— 实时 vs 定期，别搞混了
审计频率其实包含两个概念：日志采集频率和日志备份频率。我见过有人把这两个混为一谈，结果线上日志实时传输没问题，但备份策略是每周一次，中间硬盘坏了全部丢失。
个人习惯是这样：关键系统（如堡垒机、核心数据库）开启实时采集，延时不超过30秒；非关键系统可以5分钟轮询一次。备份频率则要根据你的合规要求——等保三级要求日志异地备份，我建议每天增量备份、每周全量备份。
| 场景 | 推荐采集间隔 | 推荐备份频率 |
|---|---|---|
| 核心业务服务器 | 实时（< 10秒） | 每天增量，每周全量 |
| 网络设备 | 实时（< 30秒） | 每天增量，每两周全量 |
| 普通办公终端 | 5分钟轮询 | 每周增量，每月全量 |
| 安全设备（IDS/WAF） | 实时（< 5秒） | 每天增量，每周全量 |
4.4 审计保留期限 —— 6个月是底线，不是推荐
等保2.0三级系统明确要求：日志保存时间不少于6个月（180天），重要系统建议1年以上。但你以为设个180天就完事了？太天真了。
有一次项目审计，专家问：“你们这个日志保留期是180天，那去年第三季度的日志能调出来吗？”我查了下，发现存储空间满了，日志只保留了92天。为什么？因为我只设了保留策略，但没监控存储容量。后来我加了一条规则：当剩余存储空间低于20%时，自动触发扩容告警，并暂停非关键日志的写入。
关于保留期限，我建议这样配置：
- 等保二级：不少于6个月，可以冷存储压缩
- 等保三级：不少于6个月，关键系统建议12个月
- 等保四级：不少于12个月，涉密系统按要求延长
- 审计留痕：日志本身的删除操作也要记录，防止内部删除
4.5 完整流程 —— 用一张图讲清审计策略制定
下面这张流程图是我自己平时做项目用的模板。从确定范围开始，到持续优化闭环，每一步都有检查点。建议你保存下来，每次搭建日志系统时对照着过一遍。
其实制定审计策略并不难，难的是坚持执行和自我迭代。我每次做完一个项目都会写一份《审计策略变更记录》，把每个调整的原因和时间点记下来。等保测评时，检查员看到这份记录反而会加分——这说明你有持续改进的意识。