日誌存儲審計

1. 如何選擇日誌審計系統

您好，很高興為您解答。

日誌審計系統的需求分析

日誌很早就有，日誌對於信息安全的重要性也早已眾所周知，但是對日誌的真正重視卻是最近幾年的事情。

當今的企業和組織在IT信息安全領域面臨比以往更為復雜的局面。這既有來自於企業和組織外部的層出不窮的入侵和攻擊，也有來自於企業和組織內部的違規和泄漏。

為了不斷應對新的安全挑戰，企業和組織先後部署了防病毒系統、防火牆、入侵檢測系統、漏洞掃描系統、UTM，等等。這些安全系統都僅僅防堵來自某個方面的安全威脅，形成了一個個安全防禦孤島，無法產生協同效應。更為嚴重地，這些復雜的IT資源及其安全防禦設施在運行過程中不斷產生大量的安全日誌和事件，安全管理人員面對這些數量巨大、彼此割裂的安全信息，操作著各種產品自身的控制台界面和告警窗口，顯得束手無策，工作效率極低，難以發現真正的安全隱患。

另一方面，企業和組織日益迫切的信息系統審計和內控、以及不斷增強的業務持續性需求，也對當前日誌審計提出了嚴峻的挑戰。下表簡要列舉了部分相關法律法規對於日誌審計的要求:

尤其是國家信息系統等級保護制度的出台，明確要求二級以上的信息系統必須對網路、主機和應用進行安全審計。

綜上所述，企業和組織迫切需要一個全面的、面向企業和組織IT資源（信息系統保護環境）的、集中的安全審計平台及其系統，這個系統能夠收集來自企業和組織IT資源中各種設備和應用的安全日誌，並進行存儲、監控、審計、分析、報警、響應和報告。

日誌審計系統的基本組成：

對於一個日誌審計系統，從功能組成上至少應該包括信息採集、信息分析、信息存儲、信息展示四個基本功能：

1)日誌採集功能：系統能夠通過某種技術手段獲取需要審計的日誌信息。對於該功能，關鍵在於採集信息的手段種類、採集信息的范圍、採集信息的粒度（細致程度）。

2)日誌分析功能：是指對於採集上來的信息進行分析、審計。這是日誌審計系統的核心，審計效果好壞直接由此體現出來。在實現信息分析的技術上，簡單的技術可以是基於資料庫的信息查詢和比較；復雜的技術則包括實時關聯分析引擎技術，採用基於規則的審計、基於統計的審計、基於時序的審計，以及基於人工智慧的審計演算法，等等。

3)日誌存儲功能：對於採集到原始信息，以及審計後的信息都要進行保存，備查，並可以作為取證的依據。在該功能的實現上，關鍵點包括海量信息存儲技術、以及審計信息安全保護技術。

4)信息展示功能：包括審計結果展示界面、統計分析報表功能、告警響應功能、設備聯動功能，等等。這部分功能是審計效果的最直接體現，審計結果的可視化能力和告警響應的方式、手段都是該功能的關鍵。

日誌審計系統的選型指南：

那麼，我們如何選擇一款合適的日誌審計系統呢？評價一款日誌審計系統需要關注哪些方面呢？筆者認為至少應該從以下幾個方面來考慮：

1、由於一款綜合性的日誌審計系統必須能夠收集網路中異構設備的日誌，因此日誌收集的手段應要豐富，建議至少應支持通過Syslog、SNMP、NetFlow、ODBC/JDBC、OPSEC LEA等協議採集日誌，支持從Log文件或者資料庫中獲取日誌。

2、日誌收集的性能也是要考慮的。一般來說，如果網路中的日誌量非常大，對日誌系統的性能要求也就比較高，如果因為性能的問題造成日誌大量丟失的話，就完全起不到審計的作用的了。目前，國際上評價一款日誌審計產品的最重要指標叫做「事件數每秒」，英文是Event per Second，即EPS，表明系統每秒種能夠收集的日誌條數，通常以每條日誌0.5K～1K位元組數為基準。一般而言，EPS數值越高，表明系統性能越好。

3、應提供精確的查詢手段，不同類型日誌信息的格式差異非常大，日誌審計系統對日誌進行收集後，應進行一定的處理，例如對日誌的格式進行統一，這樣不同廠家的日誌可以放在一起做統計分析和審計，必須注意的是，統一格式不能把原始日誌破壞，否則日誌的法律效力就大大折扣了。

4、要讓收集的日誌發揮更強的安全審計的作用，有一定技術水平的管理員會希望獲得對日誌進行關聯分析的工具，能主動挖掘隱藏在大量日誌中的安全問題。因此，有這方面需求的用戶可以重點考查產品的實時關聯分析能力。

5、應提供大容量的存儲管理方法，用戶的日誌數據量是非常龐大的，如果沒有好的管理手段，不僅審計查詢困難，佔用過多的存儲空間對用戶的投資也是浪費。

6、日誌系統存儲的冗餘非常重要，如果集中收集的日誌數據因硬體或系統損壞而丟失，損失就大了，如果選購的是軟體的日誌審計系統，用戶在配備伺服器的時候一定要保證存儲的冗餘，如使用RAID5，或專用的存儲設備，如果選購的是硬體的日誌審計系統，就必須考查硬體的冗餘，防止出現問題。

7、應提供多樣化的實時告警手段，發現安全問題應及時告警，還要提供自定義報表的功能，能讓用戶做出符合自身需求的報表。

以上是筆者針對日誌審計系統的選型提出的幾個建議，但在實際中，還有一些其他的問題需要考慮，像廠商的支持服務能力、產品案例的應用等等，這里就不一一列舉了。

總之，信息安全基礎設施的日趨復雜，使得我們已經從簡單的日誌管理時代邁入了系統性的日誌綜合審計時代，日誌對於網路與信息安全的價值和作用必將越發重要。

如若滿意，請點擊右側【採納答案】，如若還有問題，請點擊【追問】

希望我的回答對您有所幫助，望採納！

~ O(∩_∩)O~

2. 常見的日誌審計技術有哪些

摘要 聚銘日誌審計系統滿足各類規范要求，幫助企業集中存儲種類繁多的設備日誌，從日誌范化到從海量數據中分析得到有用的信息，通過集中監控、審計、關聯分析及時發現存在的安全隱患。

3. las是基於什麼的新一代日誌審計產品

las是基於大數據架構的新一代日誌審計產品。

針對大量分散設備的異構日誌進行高效採集、統一管理、集中存儲、統計分析的一體化產品，可協助企業滿足等保合規要求、高效統一管理資產日誌並為安全事件的事後取證提供依據。

包含日誌採集、日誌管理、資產管理、事件告警、統計管理、報表管理、系統管理以及用戶管理等八大核心功能。

產品特性

日誌審計系統通過內置的日誌採集功能，可實時採集不同廠商的安全設備、網路設備、主機、操作系統以及各種應用系統產生的日誌信息，然後經過統一的日誌管理過程，如日誌範式化處理，將採集來的海量的異構的日誌信息進行集中化的解析和存儲。

結合資產管理模塊、事件告警模塊相關規則，形成事件告警信息，用戶可基於這些進行進行原始日誌、範式化日誌以及事件告警等信息的查詢，並可通過豐富靈活的日誌報表功能進行可視化的查看，實現對日誌的全生命周期管理。

4. 比較知名的日誌審計系統有哪些

聚銘日誌審計系統滿足各類規范要求，幫助企業集中存儲種類繁多的設備日誌，從日誌范化到從海量數據中分析得到有用的信息，通過集中監控、審計、關聯分析及時發現存在的安全隱患。

5. 開元hadoop開審計日誌沒,hadoop審計日誌保留多長時間記錄

系統審計日誌默認可保存180天。
在雲堡壘機系統數據盤空間使用率低於90%情況下，系統審計日誌默認可保存180天。因雲堡壘機系統默認開啟了「自動刪除」功能，將根據日誌存儲歷史和系統存儲空間使用率，觸發自動刪除歷史日誌。您也可以修改自動刪除設置，修改「自動刪除」中日誌保存時間，在系統數據盤空間充裕情況下，可延長系統審計日誌存儲時間，甚至可一直保存系統審計日誌。

6. 日誌審計系統的基本原理

綜合日誌審計平台，通過集中採集信息系統中的系統安全事件、用戶訪問記錄、系統運行日誌、系統運行狀態等各類信息，經過規范化、過濾、歸並和告警分析等處理後，以統一格式的日誌形式進行集中存儲和管理，結合豐富的日誌統計匯總及關聯分析功能，實現對信息系統日誌的全面審計。

通過日誌審計系統，企業管理員隨時了解整個IT系統的運行情況，及時發現系統異常事件；另一方面，通過事後分析和豐富的報表系統，管理員可以方便高效地對信息系統進行有針對性的安全審計。遇到特殊安全事件和系統故障，日誌審計系統可以幫助管理員進行故障快速定位，並提供客觀依據進行追查和恢復。[網路]

圖：日誌審計系統產品功能結構

日誌審計系統的主要工作原理是，通過日誌採集器，各種設備將日誌推送到日誌審計平台，然後日誌審計平台通過日誌解析，日誌過濾，日誌聚合等進行關聯分析，從而進行告警，統計報表，也可以進行資產管理，日誌檢索等。

日誌轉發一般可以通過：Syslog轉發，Kafka轉發，http轉發。

日誌收集一般支持：Syslog、SNMP等日誌協議。

一般日誌審計系統採用旁路部署即可，只要到達全部設備網路可通即可。

支持單機部署和分布式部署。

7. 系統數據審計日誌留存時間為幾個月

北信源審計日誌可以維持三個月,那麼時間,所以說大家一定要去仔細的保存,在發現問題的時候一定要到三個月之內去查

8. 審計設置和審計日誌一般都儲存在什麼中

系統日誌會因人而異，不同操作人登錄只有本人系統日誌；操作系統審痕跡包括了所有有權才操作者的登陸軌跡，還包括了系統內部必要的痕跡。