1. 审计日志基础：从零认识你的“安全黑匣子”
大家好，我是老赵。做安全运维十几年，我有个习惯——每到一个新环境，第一件事就是翻审计日志。为什么？因为日志不会撒谎。今天咱们就来聊聊这个“安全黑匣子”到底是个啥。
什么是审计日志？
说白了，审计日志就是系统里所有“谁、在什么时候、干了什么事”的流水账。你想想看，一台服务器从开机到关机，中间发生了多少次文件读写、多少次登录尝试、多少次网络连接？这些动作都会被记录下来，形成一条条日志。
我个人习惯把审计日志比作“黑匣子”。飞机上的黑匣子记录飞行数据，审计日志记录系统行为。出了事故，第一件事就是找它。
核心定义：审计日志是一种不可篡改的、按时间顺序记录的事件序列。它必须满足三个条件：完整性、时序性、不可否认性。
嗯，这里要注意——不是所有日志都是审计日志。系统日志可能只记录“发生了什么”，但审计日志必须记录“谁干的”。这是本质区别。
审计日志的价值：为什么我离不开它？
我在项目中遇到过不少次“事故现场”。有一次，客户说数据库被删了，但没人承认。我翻出审计日志，发现凌晨3点有个运维账号登录，执行了 DROP TABLE。铁证如山，对方哑口无言。
审计日志的价值，我总结为四点：
- 溯源取证——出了安全事件，它是第一手证据。谁登录了？执行了什么命令？改了哪些文件？一查便知。
- 合规审计——等保2.0、GDPR、PCI-DSS，哪个合规标准不要求审计日志？没有日志，过检就是空话。
- 异常检测——这是咱们这门课的核心。正常行为有规律，异常行为有痕迹。日志就是发现痕迹的放大镜。
- 故障排查——系统崩了？看日志。应用挂了？看日志。我常说一句话：日志在手，天下我有。
我的经验：别等到出事才想起日志。平时养成“日志巡检”的习惯，每天花5分钟扫一眼关键日志，能避免80%的突发事故。
常见审计日志类型
审计日志不是一种，而是三类。我按来源把它们分成了系统、数据库、应用。咱们一个一个说。
1. 系统审计日志
这是最基础的。操作系统层面的所有行为，都归它管。Linux 下最常见的是 /var/log/secure（认证日志）和 /var/log/messages（系统日志）。Windows 下则是事件查看器里的安全日志。
举个例子，看看一条典型的 Linux 认证日志长什么样：
Feb 18 14:23:45 web01 sshd[12345]: Failed password for root from 192.168.1.100 port 22 ssh2这条日志告诉我们：2月18日14点23分，有人从192.168.1.100尝试用root账号SSH登录，密码错误。如果一小时内出现几十条这样的记录，那基本可以断定——有人在暴力破解。
避坑指南：我曾经遇到过一个案例，系统审计日志被攻击者清空了。后来发现，攻击者先提权，然后执行了 rm -rf /var/log/*。所以，日志一定要实时外发，别只存在本地。
2. 数据库审计日志
数据库是企业的“钱袋子”，审计日志更是重中之重。MySQL、Oracle、SQL Server 都有自己的审计机制。
拿 MySQL 举例，开启审计插件后，会记录所有 SQL 操作：
2025-02-18T14:30:00, root@localhost, 192.168.1.10, QUERY, test_db, 'SELECT * FROM users WHERE id = 1'
2025-02-18T14:30:05, root@localhost, 192.168.1.10, QUERY, test_db, 'DELETE FROM orders WHERE status = 0'你看，谁执行的、从哪来的、执行了什么SQL、影响哪个库，一目了然。我见过最离谱的一次，是有人直接在生产库执行了 UPDATE 不带 WHERE 条件，整张表数据全乱了。还好有审计日志，5分钟就定位到了责任人。
3. 应用审计日志
应用层的日志最灵活，也最容易被忽略。Web 服务器的访问日志、业务系统的操作日志、API 网关的调用日志，都属于这一类。
比如 Nginx 的访问日志：
192.168.1.100 - - [18/Feb/2025:14:35:00 +0800] "POST /api/login HTTP/1.1" 200 1234 "https://example.com" "Mozilla/5.0"这条日志记录了：谁访问了登录接口、返回状态码200（成功）、用了什么浏览器。如果发现同一个IP在短时间内大量访问 /api/login，那大概率是撞库攻击。
三种日志的对比，我整理了一张表：
| 类型 | 来源 | 典型内容 | 常见工具 |
|---|---|---|---|
| 系统审计日志 | 操作系统 | 登录、提权、文件操作 | auditd, syslog, EventLog |
| 数据库审计日志 | 数据库引擎 | SQL执行、权限变更 | MySQL Audit Plugin, Oracle Audit Vault |
| 应用审计日志 | 业务系统 | 用户操作、API调用 | Log4j, Nginx, ELK |
知识体系总览
为了让你更直观地理解这三类日志的关系，我画了一张图。它展示了审计日志在整个安全体系中的位置：
这张图把咱们刚才讲的内容串起来了。从上到下，审计日志核心分出三类，每类有各自的特征，最终都指向同一个目标——安全价值。
小结
这一章咱们把审计日志的底子打好了。什么是审计日志？就是“谁、什么时候、干了什么”的流水账。它有什么价值？溯源、合规、检测、排查。常见类型有哪些？系统、数据库、应用，三类缺一不可。
记住一句话：没有审计日志的安全，就像没有监控的银行——出了事只能认栽。