审计日志的防篡改设计

发布时间:2026-06-23 15:54

## 概念是什么 审计日志记录谁在什么时间对系统做了什么，价值在于事后可以相信它。一旦攻击者拿到最高权限，清理痕迹往往是标准动作，本机日志被删改后，取证与定责都失去依据。防篡改设计的出发点是假设本机日志不可信，通过架构安排让删改变得困难或留下证据。 ## 背后的原理 本机日志的脆弱性来自权限：攻击者与日志在同一台机器上，拥有更高权限就能停掉日志服务、清空文件甚至伪造记录。防篡改的核心思路是把日志实时送出攻击者的控制范围。其一，异地实时转发，日志产生后立刻送往独立的服务器，本机删除不影响远端副本。其二，只追加存储，远端使用只允许追加、不允许改写的存储形态，历史记录无法被悄悄重写。其三，链式摘要，为每批日志计算包含前一批摘要的校验值，任何改动都会破坏链条，完整性可被机器验证。 ## 最小实操 最小可用方案是标准日志服务的远程转发：所有服务器把关键日志实时发往一台日志汇集机，汇集机与业务网分离，账号独立，权限最小化。汇集机上再做滚动压缩与定期归档，归档写入后不再更新。日志汇集机本身也要纳入监控，日志断流本身就是一条高优先级告警。顺云同机房的云服务器之间走内网互相转发日志，既快也不占公网带宽。 ## 常见错误 常见错误：审计日志与业务日志同机同目录，被一锅端；转发配置好了但从不验证，真实断流半年无人知；汇集机用与业务相同的账号体系，权限串门。防篡改不是买一个产品，而是让每一步删改都留下无法消除的痕迹。还有一个隐蔽漏洞：转发通道本身没有冗余，汇集机检修时日志转发中断，窗口期恰好出事，证据就断了。转发链路至少留一条备用路径，中断期间本机缓存补发，把缝隙补上。