2. 日志类型与分类：定义与区别

在日志审计与合规体系中，准确识别并区分不同类型的日志是配置策略与检查工作的基础。根据数据来源与用途，日志主要分为以下五大类：系统日志、应用日志、安全日志、数据库日志与网络设备日志。每一类日志都承载着特定的信息，服务于不同的运维与安全场景。

2.1 系统日志 (System Log)

定义：由操作系统及其核心服务（如内核、驱动程序、系统守护进程）生成的日志，记录系统级事件。

• 典型来源：Windows 事件日志 (System、Application)、Linux syslog/rsyslog、/var/log/messages、/var/log/kern.log。
• 主要内容：系统启动/关闭、硬件状态、驱动程序加载、服务启停、磁盘空间告警、时间同步等。
• 合规价值：满足《网络安全法》对系统运行状态留存的要求，用于故障排查与性能基线分析。

2.2 应用日志 (Application Log)

定义：由业务应用程序、中间件（如 Web 服务器、消息队列）生成的日志，反映业务运行状态与用户操作。

• 典型来源：Nginx access/error log、Tomcat catalina.out、Spring Boot 日志、ERP 系统日志。
• 主要内容：用户请求与响应、API 调用、业务交易记录、错误堆栈、性能指标。
• 合规价值：满足《数据安全法》对数据处理活动的记录要求，是业务审计与追溯的核心依据。

2.3 安全日志 (Security Log)

定义：专门记录与系统安全相关的事件，包括身份认证、授权、入侵检测、防病毒等。

• 典型来源：Windows 安全事件日志 (Security)、Linux auditd、WAF、IDS/IPS、EDR 终端检测。
• 主要内容：用户登录/登出、权限变更、防火墙规则命中、恶意软件检测、暴力破解尝试。
• 合规价值：《网络安全等级保护 2.0》明确要求安全日志留存不少于 6 个月，是安全事件溯源的核心。

2.4 数据库日志 (Database Log)

定义：由数据库管理系统（DBMS）生成的日志，记录数据操作、事务处理、结构变更等。

• 典型来源：MySQL binlog、Oracle redo log/alert log、PostgreSQL pg_log、MongoDB oplog。
• 主要内容：SQL 执行语句、事务提交/回滚、表结构变更 (DDL)、用户连接、备份恢复操作。
• 合规价值：满足《个人信息保护法》对数据操作留痕的要求，用于数据泄露调查与完整性校验。

2.5 网络设备日志 (Network Device Log)

定义：由网络基础设施设备（路由器、交换机、防火墙、负载均衡器）生成的日志，记录网络流量、连接状态与策略执行。

• 典型来源：Syslog 协议 (UDP 514)、SNMP Trap、NetFlow/IPFIX、防火墙会话日志。
• 主要内容：接口状态变化、路由协议事件、ACL 命中/拒绝、NAT 转换、VPN 隧道建立/断开。
• 合规价值：《网络安全法》要求网络日志留存不少于 6 个月，用于网络攻击溯源与合规审计。

2.6 五大日志类型对比表

日志类型	主要来源	核心内容	合规要求	典型留存周期
系统日志	OS、内核、systemd	启动/关闭、硬件、服务状态	《等保2.0》运行状态留存	≥ 6 个月
应用日志	Web服务器、业务系统	用户请求、业务交易、错误	《数据安全法》数据处理记录	≥ 6 个月
安全日志	auditd、WAF、IDS/IPS	登录、权限、入侵检测	《等保2.0》安全事件留存	≥ 6 个月
数据库日志	MySQL、Oracle、PostgreSQL	SQL语句、事务、DDL变更	《个人信息保护法》操作留痕	≥ 6 个月
网络设备日志	路由器、交换机、防火墙	接口状态、连接、ACL命中	《网络安全法》网络日志留存	≥ 6 个月

2.7 日志分类的实践要点

1. 统一格式：建议采用 CEF (Common Event Format) 或 LEEF 标准，便于集中解析与关联分析。
2. 时间同步：所有日志源必须启用 NTP 同步，确保时间戳一致性，这是日志审计的基石。
3. 分级存储：安全日志与数据库日志建议采用 WORM (Write Once Read Many) 存储，防止篡改。
4. 覆盖检查：定期检查日志源是否覆盖所有关键资产，避免出现“日志盲区”。

总结：五大日志类型各有侧重，系统日志关注“机器健康”，应用日志关注“业务行为”，安全日志关注“威胁风险”，数据库日志关注“数据变更”，网络日志关注“流量通路”。在合规配置中，需确保五类日志均被纳入采集范围，并满足相应的留存周期与保护要求。