3. 日志基础概念
在工业安全日志关联分析工程中，所有后续的采集、解析、归一化、关联与告警，都建立在对“日志”这一基础对象的准确理解之上。如果对日志的定义、类型、级别、生命周期和管理成熟度缺乏统一认识，就会出现采集遗漏、字段混乱、级别误判、留存不足等问题，最终导致关联分析结果不可信。本节从工程视角梳理这五个基础概念，为后续章节打下共同语言。
一、日志的定义：从“记录”到“证据”
日志是系统、设备、应用或人员在运行过程中，对发生的事件按时间顺序形成的结构化或半结构化记录。它至少应包含“谁、何时、何地、做了什么、结果如何”五个要素。在工业场景中，日志不仅是运维排障的辅助信息，更是安全事件追溯、责任认定和合规审计的电子证据。
从工程角度看，一条合格的日志记录通常包含以下字段：时间戳、设备/资产标识、日志来源、事件类型、日志级别、主体（用户/进程/源IP）、客体（目标资源）、动作、结果状态和扩展信息。缺少时间戳或资产标识的日志，在关联分析中几乎无法使用。
二、日志类型：按来源与用途分类
工业环境中的日志来源复杂，常见类型包括：操作系统日志（Windows 事件日志、Linux syslog）、网络设备日志（防火墙、交换机、路由器）、安全设备日志（IDS/IPS、WAF、防病毒）、工业控制设备日志（PLC、DCS、SCADA、HMI）、应用系统日志（数据库、Web、中间件）、身份认证日志（AD、LDAP、VPN）以及物理安全日志（门禁、视频、周界）。
按用途又可分为：审计日志、运行日志、访问日志、变更日志、告警日志和调试日志。不同类型日志的字段结构、时间精度和留存要求差异很大，采集时必须分类建模，不能“一锅端”。
三、日志级别：从调试到致命
日志级别用于表达事件的严重程度和处置优先级。常见级别从低到高为：TRACE、DEBUG、INFO、WARN、ERROR、FATAL/CRITICAL。工业安全场景中，还需将设备原生级别映射到统一级别，例如将 PLC 的“故障”映射为 ERROR，将“通信超时”映射为 WARN。
| 级别 | 含义 | 典型工业场景 | 关联分析处置 |
|---|---|---|---|
| DEBUG | 调试细节 | PLC 程序步进、协议报文 | 一般不参与告警，仅用于复盘 |
| INFO | 正常操作 | 操作员登录、参数读取 | 作为行为基线，参与关联 |
| WARN | 潜在异常 | 通信重试、阈值接近 | 与同类事件聚合，观察趋势 |
| ERROR | 功能失败 | 控制指令拒绝、认证失败 | 触发关联规则，进入告警队列 |
| FATAL | 系统致命 | 控制器宕机、安全联锁动作 | 最高优先级，立即响应 |
四、日志生命周期：六个阶段
日志从产生到销毁，经历采集、传输、解析、存储、分析、归档/销毁六个阶段。每个阶段都有工程要求：采集要完整、传输要可靠、解析要准确、存储要防篡改、分析要可关联、归档要合规。
生命周期中最容易被忽视的是“解析”和“归档”。解析不准确会导致字段错位，归档不合规会导致审计时无法提供证据。工业场景还要求日志存储具备防篡改能力，例如使用 WORM 存储或哈希链校验。
五、日志管理成熟度模型：从 L1 到 L4
日志管理成熟度模型用于评估一个组织在日志治理上的能力阶段。常见划分为四级：
- L1 无序记录：日志散落在各设备本地，格式不一，无统一时间，基本无法关联。
- L2 集中采集：通过 Syslog、Agent 等方式汇聚到中心平台，可检索，但字段未归一。
- L3 标准化解析：建立日志规范，完成字段归一、级别映射、资产绑定，具备基础关联能力。
- L4 关联分析与闭环：具备规则关联、行为分析、告警闭环、合规审计和持续优化能力。
多数工业企业在 L2 到 L3 之间徘徊，瓶颈往往不是工具，而是缺乏统一的日志标准和资产台账。推进成熟度提升，应先做“字段标准化”和“时间同步”，再谈关联规则。
六、案例与误区复盘
某汽车零部件工厂在部署关联分析平台后，仍频繁出现“同一攻击链无法串联”的问题。复盘发现：PLC 日志使用本地时钟，与防火墙日志相差 7 分钟；操作员登录日志中的资产字段是 IP，而防火墙日志中是设备名；认证失败日志被设备标记为 INFO 而非 WARN。三个问题分别对应生命周期中的采集、解析和级别映射环节。
正确的做法是：先建立日志源清单和字段字典，统一时间源（NTP/PTP），定义级别映射表，再按生命周期逐阶段验收。只有基础概念清晰，后续的关联分析工程才不会建立在流沙之上。
# 日志字段归一化示例（伪配置）
source: PLC-01
raw_level: FAULT
map_level: ERROR
timestamp: 2025-03-11T08:22:31+08:00
asset_id: PLC-LINE-A-01
event: control_command_rejected
actor: operator_zhang
target: conveyor_motor_3
result: denied
当每条日志都能稳定输出上述字段时，日志才真正从“文本记录”转变为“可关联的安全数据”。这也是工业安全日志关联分析工程的第一块基石。