审计日志基础概念：日志级别、时间戳、事件类型、用户标识、源/目标信息
咱们做DLP，第一件事就是搞清楚审计日志到底长什么样。说白了，审计日志就是安全事件的“黑匣子”，DLP能不能精准抓到泄露行为，全靠这些字段。我这些年排过不少坑，大部分问题都出在基础字段没定清楚。今天把这五个核心概念掰开揉碎讲透。
1. 日志级别（Log Level）
日志级别决定了你记录多细。常见的级别有：
- DEBUG — 开发用，信息极其详尽，生产环境千万别开
- INFO — 正常操作记录，比如“文件被复制”、“策略匹配成功”
- WARNING — 可疑行为，比如“多次尝试访问敏感文件”
- ERROR — 系统异常，比如“DLP Agent连接中断”
- CRITICAL — 严重事件，比如“合法用户批量下载核心数据”
我个人习惯在生产环境只用INFO及以上。为什么？因为DEBUG日志量太恐怖了。我记得有个客户，把DLP网关日志级别调成了DEBUG，一天就写爆了磁盘，整台服务器宕机。所以我的原则：默认INFO，必要场景临时开DEBUG，调完立刻改回去。
2. 时间戳（Timestamp）
时间戳是审计日志的灵魂。没有统一的时间基线，所有事件关联都是扯淡。我遇到过客户，A服务器用UTC，B服务器用CST+8，调查一条跨系统数据泄露链时，时间线死活对不上。折腾了两天才发现时区差异。
我的建议：统一使用UTC，格式按ISO 8601标准，例如 2025-03-22T14:30:00.123Z。精度至少要毫秒级，因为DLP事件有时在同秒内发生多个，没有毫秒你就没法排顺序。
| 场景 | 推荐精度 | 格式示例 |
|---|---|---|
| 日常操作审计 | 秒级 | 2025-03-22T14:30:00Z |
| 关联分析/告警 | 毫秒级 | 2025-03-22T14:30:00.123Z |
| 取证溯源 | 微秒级 | 2025-03-22T14:30:00.123456Z |
+08:00），方便后期对接不同时区。但存储时一律转成UTC，这是铁律。
3. 事件类型（Event Type）
事件类型就是“发生了什么”。DLP里常见的事件类型包括：
- FILE_COPY — 复制文件到U盘
- EMAIL_SEND — 发送包含敏感信息的邮件
- PRINT — 打印带水印的文档
- USB_INSERT — 插入外部存储设备
- CLOUD_UPLOAD — 上传数据到云盘
事件类型还关联着处置动作。我习惯用一个枚举表来定义：
| 事件类型编码 | 描述 | 处置动作 |
|---|---|---|
| 01 | 文件复制到可移动设备 | 允许 / 阻止 / 告警 |
| 02 | 邮件外发敏感信息 | 阻止 + 管理员审批 |
| 03 | 打印带水印文档 | 允许并审计 |
| 04 | 绕过DLP客户端尝试 | 立即阻断 + 高优先级告警 |
你想想看，如果没有统一的事件类型命名，A厂家叫“FileToRemovable”，B厂家叫“FileCopyToUSB”，那SIEM关联规则怎么写？所以落地时一定要统一字典。
4. 用户标识（User Identity）
用户标识是“谁干的”。一个完整的用户标识应该包含：
- 用户名（如
zhang.san） - 域/租户（如
corp.com） - 用户ID（如
S-1-5-21-…） - 邮箱（如
zhangsan@corp.com）
我踩过一个坑：客户AD里同一个用户有“Zhang.San”和“zhangsan”两种写法，结果日志里用户标识混乱，调查泄露事件时查不到完整操作链条。后来我强制要求：所有DLP设备从统一身份源（AD/LDAP）同步用户信息，日志里只写规范格式。
5. 源/目标信息（Source/Destination）
源和目标描述数据的“从哪里来、到哪里去”。在DLP场景里，常见的组合是：
- 源：进程名、文件路径、源IP、源设备ID
- 目标：目标文件路径、目标IP、目标外设标识、网络协议
举个例子：用户从 \\fileserver\confidential\plan.docx 复制到 E:\（U盘）\plan.docx。那源就是 \\fileserver\confidential\plan.docx，目标是 E:\（U盘）\plan.docx。
这里我特别想强调一点：一定要记录纯路径，不要截断。我曾经见过一个系统，因为字段长度限制把长路径截断成 \\fileserver\confide...，结果分析时根本不知道文件到底存哪里。
| 字段 | 示例值 | 说明 |
|---|---|---|
| source_path | \\fileserver\share\hr_backup\salary.xlsx | 源完整路径 |
| source_ip | 192.168.1.102 | 客户端IP |
| dest_path | /mnt/usb/private/salary.xlsx | 目标完整路径 |
| dest_protocol | SMB | 传输协议 |
知识体系总览
下面这张图把这五个基础概念串了起来。你一眼就能看出它们是如何构成一条完整审计日志的：
这张图里，审计日志是中心，五个字段缺一不可。实际上，每一条记录都是这五个维度的一次快照。你在做DLP规则时，经常需要同时命中多个字段才能准确判定异常。
实战中的字段组合
我举个真实例子：某企业内鬼从文件服务器复制了100份客户资料到U盘。审计日志会记录：
级别: WARNING
时间: 2025-03-22T14:30:00.123Z
类型: FILE_COPY
用户: zhang.san@corp.com
来源: \\fs\客户资料\2024\
目标: E:\ (SanDisk USB Device)看到没有？只有五个字段完整，才能还原事实。缺了时间戳，你没法判断操作速度是正常还是异常；缺了用户标识，你找不到人；缺了源/目标，你没法确定数据去了哪里。
嗯，这一章就到这里。基础打牢了，后面讲关联分析、规则引擎的时候你才会有感觉。