日志留存期限的相关要求

日志留多久，一边是法规给的下限，一边是磁盘给的上限，两头都要照顾到。 法规的常见口径 网络安全法要求采取监测记录网络运行状态、网络安全事件的技术措施，并按规定留存相关的网络日志不少于六个月。注意两个词：是"网络日志"，指向运行和访问层面的记录；是"不少于"，六个月是底线不是建议。做了等级保护的业务，留存要求还会随级别抬高。还有个前提常被忽略：日志时间必须准。服务器时间漂了，日志排序全乱，排查价值归零，装上 chrony 定时对时，用 chronyc sources 看同步状态。数据库慢查询日志、系统登录日志按同样思路归档，审计要的是能按时间检索的一整套，不是零散几份。 实际操作怎么落 以最常见的 nginx 为例，访问日志按天切分再压缩，半年存量不过几个 GB，成本不高。logrotate（日志轮转工具）配置： /var/log/nginx/*.log { daily rotate 180 compress delaycompress missingok } daily 加 rotate 180 正好覆盖六个月，到期自动清理。更稳妥的做法是把过了在线保留期的日志转存到对象存储或备用机，冷存储几乎不占在线盘空间。检索能力也要有：真要取证时，从半年前的压缩包里找某个 IP 的记录，zgrep 直接支持压缩文件，zgrep "203.0.113.5" /var/log/nginx/access.log-*.gz 一条命令的事，前提是归档目录结构清晰。应用层的业务日志另算，按分析需求定，与合规要求的网络日志分开管理，避免清理时互相误伤。 留存与清理的平衡 留太久占空间，删太早丢证据，六个月在线加更长的冷备是常见折中。清理动作交给 logrotate 这类工具自动做，手工 rm 迟早出事故。安全事件往往在发生后一段时间才被发现，日志就是那时唯一的现场。核心业务的日志，保留期可以单独定得更长。 把日志策略写进文档：什么日志、留多久、存哪里、谁负责。审计或测评来的时候，这份文档本身就是加分项。