3. 常见审计日志来源：网络、终端、数据库、邮件、云

审计日志从哪来？说白了，就五大类。我在做 DLP 项目时，最头疼的不是策略配置，而是日志源采集不全——漏一个，黑产就能钻过去。今天我把这五个来源拆开讲，每一类都踩过坑，你记下来能少走弯路。

3.1 网络流量审计日志

网络流量日志是所有 DLP 系统的基础粮仓。常见的来源包括防火墙、入侵检测设备、网络流量镜像分析平台，还有代理服务器的访问记录。我个人习惯把网络日志分为“南北向”和“东西向”。南北向是进出企业边界的流量，东西向是内部服务器间的通信。

为什么这个分类重要？因为数据泄露往往发生在内部横向移动阶段。有一次，攻击者通过钓鱼邮件拿下一台员工电脑，然后在内网横向扫描数据库——东西向流量日志及时捕捉到了异常的 SMB 连接频率，帮我们阻断了一次数据批量窃取。嗯，这里要注意：网络日志要保留足够字段——源 IP、目的 IP、端口、协议、应用层特征、流量大小，缺一个都可能导致溯源失败。

3.2 终端行为审计日志

终端是数据泄露的重灾区。日志来源包括操作系统事件日志、USB 接入记录、打印监控、进程创建与文件操作等。你想想看，一个员工把公司图纸拷贝到 U 盘带走——网络日志根本看不到，因为那是在终端本地操作。终端日志才是最后的防线。

我做过的项目中，某研发公司的终端日志策略只记录了文件删除和 USB 插入，却漏掉了“文件另存为”操作。结果核心代码被通过拖拽到本地目录再刻录光盘的方式带出，事后日志里一片空白。我建议终端日志至少覆盖：文件复制/移动/重命名/删除、剪贴板内容（敏感词匹配）、外设接入、网络共享映射。对了，进程快照也很关键——能看清到底是什么程序在访问敏感文件。

3.3 数据库操作审计日志

数据库日志是数据安全的心脏。Oracle 的 Audit Vault、MySQL 的 General Log / Audit Plugin、SQL Server 的 C2 审核，以及一些第三方数据库审计网关，都能产生结构化操作记录。我个人的经验是：直接抓通用日志容易遗漏参数化查询中的敏感数据，比如 SELECT * FROM users WHERE phone = '138xxxx'，只有审计网关才能还原真实语句。

-- 示例：MySQL audit log 片段（启用 server_audit 插件）
2018-06-12 09:15:03, root, localhost, 45, 0,
QUERY, `pay_db`,'SELECT card_no, cvv FROM cards WHERE account_id = 1024', 0

你看，上面的日志里直接暴露了信用卡字段名和查询条件。数据库审计日志最适合用来做“异常查询模式检测”——比如半夜有人从非运维终端执行全表扫描，或单次返回超过 10 万行数据。我曾经在银行项目里遇到过：DBA 用普通运维账号凌晨 3 点手工执行了全表导出，审计日志的“时段 + 数据量”组合指标立刻触发告警。

3.4 邮件网关审计日志

邮件网关日志是识别数据外发最直接的来源。常见的字段有：发件人、收件人（含外域）、邮件大小、附件名、附件哈希、主题、正文（经脱敏处理的摘要）。但这里有一个坑：很多组织只记录 smtp 会话日志，不解析 MIME 内容。你要真想抓邮件泄露，必须让邮件网关做附件内容识别和链接扫描。

我记忆很深的一次：某企业员工通过公司邮箱把标书加密压缩后发给个人 QQ 邮箱，附件名叫“文档.rar”。邮件日志只记了“rar 压缩包”，没解不开。但我们通过邮件网关的 DLP 引擎对附件做内容指纹匹配，发现压缩包里包含“机密_商业计划书.v2.pdf”。那之后，我就一直建议客户把邮件网关 DLP 日志和终端文件监控日志做关联。很多泄露不是单点暴露出来的。

3.5 云应用审计日志

现在 SaaS 遍地跑，Google Workspace、Microsoft 365、Salesforce、钉钉、企业微信……这些都是审计日志的新战场。云应用日志通常通过 API 拉取或流式对接（如 Office 365 的 Audit Log Unified API），数据量比传统日志小很多，但结构更复杂。我建议关注三类事件：文件共享（公开链接创建、外部分享、匿名访问）、登录异常（异地、非常用设备、MFA 绕过）、管理员操作（批量下载用户数据、修改权限组）。

一个真实案例：某公司使用 Microsoft 365，员工离职后管理员忘记撤销权限。离职员工通过个人设备登录 OneDrive，创建了 50 个公开分享链接下载客户名单。我们当时的 O365 审计日志里，“AnonymousLinkCreated”事件一天内出现 50 次，明显异常。我迅速做了隔离。如果当时没接入这个日志源，数据就彻底流到公网了。