日志审计是合规与安全的共同地基：事件发生时，日志时间线就是真相。本文解析采集对象、取证实战与选型参数。
四类必采：操作系统（登录、特权命令）、数据库（增删改、登录）、网络设备（策略变更、
采集对象与日志清单
流量）、安全设备（告警、阻断）；再加应用日志与云资源日志。清单化后按优先级分批接入。
合规取证三场景
- 等保测评：审计留存证据链完整可查。
- 违规调查：账号行为时间线还原到人。
- 安全事故：攻击源、横向移动、数据外泄全程回溯。
选型参数速查
| 参数 | 关注点 |
|---|---|
| 接入能力 | 支持设备类型与数量上限 |
| 日志吞吐 | 每秒事件数满足峰值 |
| 检索性能 | 大时间窗模糊查询速度 |
| 报表模板 | 等保与行业模板齐全 |
部署三步
第一步盘点日志源与带宽，定接入顺序；第二步部署与日志接入，验证字段解析与时间同步；第三步建审计策略与告警，出第一份月报。部署后做一次全链路的取证实战演练。
3 条要点回顾
- 日志审计四类必采：系统、数据库、网络、安全设备。
- 等保要求六个月留存，先算容量再选型。
- 选型看接入、吞吐、检索、报表四参数，勤动手演练取证。
常见问题（FAQ）
日志审计是做什么的？
集中采集服务器、网络、安全设备日志，统一存储与检索：满足等保与合规审计要求，安全事件发生时能还原时间线定位根因。
日志审计选型看什么？
看四个参数：接入能力（设备数上限）、日志吞吐（每秒事件数）、检索性能、合规报表（等级保护模板）；再加国产化支持与扩容路径。
日志要保留多久？
等保要求六个月以上，业务与风险用途按需更长；存储量按日均日志量乘保留天数规划，先做容量测算再选型。
日志审计和 SIEM 什么关系？
日志审计偏合规留存与取证的基座，SIEM 在其上加威胁检测与关联分析；多数企业先上日志审计满足合规，有安全运营需求再演进到 SIEM。
让专业团队帮你落地
相关阅读：等保合规流程 · SOC 安全运营中心 · 咨询日志审计方案 日志规范参考等级保护第 4 级技术要求：gov.cn
广东深华天成智能工程有限公司
14年IT服务经验 | 2000+企业客户 | 7x24小时技术支持 | 深圳AI算力与数据中心集成服务商