日志只留6个月？ 出事后你连凶手都抓不到。

宝十八
宝十八

网络安全老宋

2026年10月8日 12:05
山东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

导语： 你好，我是网络安全老宋。安全攻防干货准时送达！

网络安全老宋// 安全运营 · 实战溯源

// 安全运营 · 实战溯源

日志只留6个月？ 出事后你连凶手都抓不到

我不是做等保的，我是一个天天在 SOC 看告警、出应急的人。日志留多久，从来不是\"合规写没写\"的问题。

SOC实战应急响应日志留存

前两天群里有人在聊\"日志留存不足6个月，等保过不了\"。这话没错，但我今天想换个角度——我不是做等保的，我是一个天天在 SOC 里看告警、出应急的人。

对我们这些一线干活的来说，日志留多久，从来不是\"合规条款里写没写\"的问题。它是你被叫起来处理勒索、被溯源追到怀疑人生时，手里唯一能翻的旧账。6个月这条线，它是地板，不是天花板。真到了出事那天，你才会发现：地板下面，全是坑（┭┮﹏┭┮）。

01日志不是给审计看的，是出事后唯一的证据链

不少人对日志的认知，还停在\"留着应付检查\"。但在应急响应现场，日志就是时间线本身。

攻击者进了你的内网，第一步往往是清日志、改时间、抹痕迹。你能在他动手之前拿到的，只有那些已经被集中收集、他够不着的远端日志。如果这台机器的本地日志被他删了，而你的 SIEM/日志平台只留了3个月，那你面对的就是一段空白——你只知道\"他来过\"，却说不清他干了什么、拿走了什么、潜伏了多久。

所以老宋一直跟团队说：日志是给未来的自己留的救命绳子。今天觉得占地方，明天断案子时它就是救命稻草。

026个月只是地板，最佳实践早就冲到1~2年

《网络安全法》第二十一条确实要求\"采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月\"。但注意，是\"不少于\"，不是\"刚好六个月就够\"。

从实战和权威框架看，6个月远远不够：

换句话说，6个月是法律给你划的及格线，不是安全圈公认的合理线。你按及格线建体系，平时没事，一出事就露怯。今年HVV的时候，就给客户排查出来了一个历史病毒，看日期应该是去年的事了，通过查看历史日志判断是真实攻击。

03真实教训：日志不够，溯源直接断片

说几个让人后背发凉的例子：

SolarWinds 供应链攻击：攻击者从2019年9月就潜伏进去了，直到2020年12月才被发现，驻留了15个月以上。那些只留半年的日志，连攻击起点都看不到。

Huntress 真实案例（2025年10月）：一次入侵里，关键的 Windows 4624 登录事件最后记录停在9月13日——因为 Windows 默认安全日志只有 20MB，早就被滚掉了。等他们10月1日介入时，攻击者9月中旬的活动记录已经荡然无存。

IBM 数据：入侵被发现前的平均\"驻留时间\"是 212天（约7个月）。这意味着，只留6个月日志，有近一半的攻击你连起点都抓不全。

这些不是段子，是每年都在发生的血泪账。

04免费也能搞：rsyslog + 一台旧服务器

听到\"留两年日志\"，很多人第一反应是\"存储成本爆炸\"。其实对绝大多数中小企业，根本不用上商业 SIEM 的大方案。

老宋的实战做法（低预算的办法）：一台退役的旧服务器 + rsyslog + 本地磁盘。把所有设备的 syslog 往这台机器集中收，按天切割、gzip 压缩，文本日志压完体积能小好几倍。算一笔账：

日均原始日志 2GB，压缩比约 3:1，一年约 240GB。一块 1TB 的企业级硬盘才几百块，留两年绰绰有余。当然这个只适合小体量的用户，要是服务器等设备多的话还是要上专业的，毕竟后期调取日志排查也方便。

再配个简单的分级留存：热数据（最近90天）放快盘随查随用；温数据（6~18个月）转归档盘；冷数据（1~2年）压进对象存储。CISA 的 LME（Logging Made Easy） 就是这套思路的开源零成本方案，小团队直接抄作业。

05两个最容易踩的坑

坑一：Windows 默认日志太小。上面 Huntress 的例子就是典型。默认安全日志20MB，活跃点的域控几天就滚没了。务必去组策略里把安全/系统/应用日志调到上限（比如 4GB 滚动），或者干脆把关键事件实时转发到远端收集点，让攻击者删不了本地也抹不掉远端。

坑二：审计项全开，反而淹死自己。有人图省事把\"审计策略\"全勾上，结果满屏成功登录、策略变更噪声，真正可疑的提权、异常进程反而被埋了。日志不是越多越好，是关键事件要全、噪声事件要筛。先定清楚\"我要靠日志回答哪几个问题\"，再决定开什么。

// 老宋说：我干了这么多年安全运营，最大的体会就一句：日志的尽头不是合规，是真相。等保让你留6个月，那是底线；但真正决定你半夜被叫起来能不能睡个安稳觉的，是那第7个月、第13个月、第19个月的日志还在不在。别等出了事，才想起绳子早被自己剪短了。

推荐阅读

这几篇相关的，建议一并看看：

1. 甲方运维的日志过滤取舍： 砍掉80%噪声，等保溯源不翻车

2. 服务器被入侵 6阶段处置表 + 3条合规红线

3. 渗透测试从业者的 CTF 大模型CypherMind：6.4GB 离线跑通夺旗赛

4. 他把一台"滴水不漏"的服务器扫出了 17 个秘密

5. 甲方运维应急响应的日志分析利器：Klogg 大文件秒开，朴实可靠

防御，不是在演练期间发现攻击，而是在演练开始前就把攻击面收敛到最小。

end

不想错过文章内容？读完请点一下“在看**”，加个“关注”，您的支持是我创作的动力

期待您的一键三连支持（点赞、在看、分享~）