甲方运维的日志过滤取舍： 砍掉80%噪声，等保溯源不翻车

宝十八
宝十八

网络安全老宋

2026年9月23日 12:00
山东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

导语： 你好，我是网络安全老宋。安全攻防干货准时送达！

网络安全老宋// 甲方运维 · 日志治理

// 甲方运维 · 安全加固

甲方运维的日志过滤取舍： 砍掉80%噪声，等保溯源不翻车

日志不是传得越多越安全，取舍的尺子只有一把：出事时，这条日志你要不要拿它当证据。

日志过滤SOC 降噪等保合规

目录 · Table of Contents

01不砍，你就会死在噪声里

02真正的矛盾：砍噪声 vs 法规全留

03老宋的取舍框架：三问四砍

04动手三步：别一上来就全量砍

05留全量不等于安全

一个真实场景。

去年帮一家制造企业做护网前体检，他们的新防火墙刚上线，运维按\"稳妥起见\"把全部日志一股脑上送 SOC，结果第一周平台就扛不住了——日志量比预估翻了三倍，解析队列堵到爆，性能告警比真实攻击告警还多。领导在群里追着问\"是不是被打了\"，两个人查了一下午，最后发现 90% 都是正常放行的心跳包和重复的健康探测。这钱花得冤，这人力也糟践了。

日志这东西，传错了比不传还坑。

很多运维把\"全量上送\"当成责任心，觉得多传总比少传安全，可现实是 SOC 不是垃圾桶，你往里倒的噪声越多，真正要命的那条告警就越容易被埋。下面老宋把\"该砍什么、该留什么\"这件事，用一套能直接照着做的框架讲清楚。

01不砍，你就会死在噪声里

先说为什么要取舍，不是老宋抠门，是数据摆在那儿。Forrester 的数据，企业 SOC 平均一天收到 11000 条告警，真正需要人去查的只有 22 条；SANS 和 Panther Labs 的调研更直白，70% 以上的告警都是误报。你没看错，七成多是假的。

最扎心的是这个——43% 的告警从来没人看，63% 的告警石沉大海，还有 61% 的安全团队承认，自己忽略过的告警后来被证明是真的威胁。不是人不负责，是人被噪声淹没了，麻木了。

这已经不是钱的问题，是 SOC 在\"假忙碌\"里漏掉了真攻击。

再说钱。一套企业级 SIEM 平均一年烧 50 万到 250 万美元，存储每 GB 每年还要再搭 200 到 500 美元，而日志量每年还在以 25% 到 40% 的速度涨。一家做日志预处理优化的厂商给过一组对比：某环境 30 多万条一模一样的重复事件，经过去重只往 SIEM 里转了 4 条。智能预处理能把 SIEM 成本砍掉 60% 到 80%——这不是少存点日志的小事，是一年能省出一辆车的差距。

📌 如果你身边还有运维同事把所有日志无脑全量上送，把这篇转给他，这坑踩一次就是几万块加几天加班。

02真正的矛盾：砍噪声 vs 法规全留

讲到这儿，甲方运维最纠结的点来了。你想砍噪声提效率，可合规和溯源的要求偏偏是\"该留的必须留、还得留够时间\"。这两个诉求看着像打架，老宋先把这个死结解开。

等保 2.0 对日志留存是硬线，不是建议值。二级系统日志留存不少于 6 个月，三级系统不少于 12 个月，这是测评的一票否决项，不达标直接判不合格。《网络安全法》第二十一条也白纸黑字写着，网络日志留存不少于六个月。黑龙江等保测评机构 2026 年的解读说得更绝：二三级都是 180 天，无例外、无豁免。

而且留的范围比你想的宽。至少五类必须留：防火墙和交换机这类网络设备的访问和拦截日志、主机服务器的登录和操作日志、业务系统的注册登录和数据操作日志、堡垒机的运维操作审计、还有入侵拦截告警。三级系统还要求关键操作 100% 采集、不能篡改、要异地备份、要定期出审计报表。

所以\"过滤\"和\"留存\"从来不是一回事。

💡 老宋给一句话点破：过滤是\"少往 SOC 传噪声\"，留存是\"关键日志一条不丢且能溯源\"。这两件事走两条不同的管道——噪声在设备端折叠，关键事件实时上送 SOC，全量原始日志落本地或冷存储。混在一起做，要么 SOC 被淹，要么合规翻车，二选一挨锤。

03老宋的取舍框架：三问四砍

真干起来，老宋不跟你讲虚的。判断一条日志该砍还是该留，先问自己三个问题。第一个，出事的时候这条日志你拿不拿它当证据？第二个，它现在是噪声还是信号？第三个，留它是为了应付合规，还是为了真能排查？

三问答完，四类日志可以放心砍。第一类，正常放行的流量统计，比如心跳包、负载均衡的健康探测，这些做指标比做日志更有用，别一条条往 SOC 塞。第二类，批量重复失败登录，按源 IP 和时间窗口聚合，保留首条加计数就行，别把同一台机器狂扫的几千条全传上去。第三类，低级别的调试和信息级日志，debug 级别的基本可以本地留、不上送。第四类，同一事件的高频重复，开个去重窗口，折叠掉。

右列这四类，一条都不能砍。

反过来，四类日志一条都不能动。阻断拦截类的，防火墙 deny、IPS 和 WAF 的拦截记录，这是你证明\"防住了\"的唯一凭据。身份和权限变更的，谁在什么时候登了进来、提了权、建了账号、改了策略，这是溯源的生命线。堡垒机的运维操作审计，所有操作要能回放，出了内部违规这是铁证。还有异常事件，扫描、暴破、越权尝试，哪怕单次看着无害，聚起来就是攻击前奏。

📌 把这张\"四砍四留\"表存进收藏，下次等保自查或者 HW 前梳理日志策略，直接照着划线。

04动手三步：别一上来就全量砍

框架有了，怎么动手？老宋见过太多人一拍脑袋把所有日志全砍了，结果真出事拉不出证据，比不砍还惨。正确姿势是分步来，先看清噪声从哪来。

第一步，先抓噪声源。把各设备日志按重复率和体量排个序，看哪些源最吵、每天多少 GB、峰值多少。数据不会骗人，你一眼就能看出哪台设备在不停刷屏。

第二步，保留首发加去重窗口。别粗暴丢弃，第一条实时上送保住实时可见，重复事件在窗口内折叠，但准确计数保留下来。这样既不丢信号，又把 99% 的重复刷屏压没了。某厂商的案例，30 多万条相同事件最后只转了 4 条，靠的就是这套逻辑。

各家厂商配置入口位置不同，但逻辑一致，老宋把常见的列一下：

⏺ 主流设备 · 日志过滤配置入口

安恒防火墙：系统 → 日志 → 日志过滤

奇安信防火墙/IPS：数据中心 → 日志设置 → 日志外发

深信服防火墙/防毒墙/EDR：日志外发配置

启明星辰 / 绿盟 WAF：日志外发 / 过滤页

核心一句话：噪声在设备端折叠，

关键事件实时上送，全量原始落本地。

第三步，分类路由。安全相关的事件走 SOC 做实时监测，全量原始日志落本地或冷存储，既满足等保 180 天留存，又不拖累实时分析。冷热分层存储也顺手做了——最近两周热数据高速查，超过一个月的冷数据进对象存储，成本能压到原来的零头。

05一个反直觉的提醒：留全量不等于安全

最后老宋泼盆冷水。很多人觉得\"我全留着，总比漏了强\"，可数据打脸打得响。CardinalOps 2025 报告说，企业 SIEM 对 MITRE ATT&CK 已知攻击技术的检测覆盖率只有 21%，也就是说你存了 PB 级日志，真正能用来发现攻击的不到四分之一。更离谱的是，13% 的检测规则根本就是坏的，永远不会触发——不管你日志存得多全。

存得多，不等于看得见。

海量日志还反向拖慢应急。真出事的时候，你要在几亿条里翻出那条关键日志，光索引重建就够你喝一壶，溯源反而比日志少的时候还慢。真正值钱的从来不是\"全\"，是\"出事时三分钟能拉出来的那条\"。老宋见过最稳的团队，日志过滤做得干净，SOC 里信号清晰，本地冷存储合规齐全，真做攻防演练溯源，半小时定位到人。

// 老宋说：技术本质是，日志的价值不在\"多\"，在\"准\"——一条能在出事时当证据、能还原攻击链的日志，顶得上十万条心跳包。行业里现在流行砸钱上大 SIEM、堆存储，可 ATT&CK 覆盖才 21%、误报率七成，说明多数人把钱花在了\"存得多\"而不是\"看得清\"上。对你的建议就一句：今天下班前，打开你的 SOC 看看日均日志量，把那张\"四砍四留\"表对着设备过一遍，先砍掉最吵的那台，合规要留的全量落本地——这一步不花一分钱，却能让你下回被领导问\"是不是被打了\"时，三分钟给出干净的答案。

觉得有用，转发给你身边负责日志和安全设备的同事，他们大概率正被噪声淹着。

我们下期见 👋

防御，不是在演练期间发现攻击，而是在演练开始前就把攻击面收敛到最小。

end

不想错过文章内容？读完请点一下“在看**”，加个“关注”，您的支持是我创作的动力

期待您的一键三连支持（点赞、在看、分享~）