日志审计系统

和安全监测的区别

安全监测偏向实时：发现异常、产生告警、及时处置。 日志审计偏向留痕：把发生过的事完整记下来，供事后追溯和检查时举证。

两者关注的时间尺度不同，因此不能互相替代。只有告警没有留痕，事后说不清过程； 只有留痕没有告警，问题发现不及时。

选型确认四项

• 接入范围：哪些设备和系统的日志要收。先出清单，再谈规模——这是最容易漏的一步。
• 日志量：接入对象数量与产生频度决定存储规模。
• 留存期限：按本地规定确认，这一项直接决定存储容量，且通常不可事后压缩。
• 与既有体系的衔接：是否需要向上级平台提供数据，接口要求应前置获取。

建成之后的关键一步

日志收上来之后由谁看、按什么周期看、发现问题怎么处理， 这三件事如果没有落实到岗位，系统就只是在积累数据。

建议在方案阶段就把这项工作的归属确定下来，并明确记录方式—— 检查时需要说明工作确实在做，靠的是记录而不是口头说明。

边界说明

接入范围、留存期限与审计要求由各单位依据现行规定确定，差异较大。 本页说明的是作用、分工与选型判断依据，具体实施内容不在公开页面说明。