|
问题背景
等保2.0三级要求"网络日志、主机日志、应用日志"6个月可追溯。但智慧厂务系统每天产生数十GB日志（SCADA 1秒粒度+全流量包+主机事件），传统存储和分析工具根本扛不住。业主痛点：日志到底采什么？怎么存？怎么分析才不会"淹没在数据的海洋里"？ 详细解答
审计日志管理需要"分级采集+WORM存储+SIEM分析+SOAR响应"四位一体： 分级采集（采集什么）。 - P0 全量采集：防火墙进出日志、SCADA关键操作（启停、参数修改、用户登录）
- P1 摘要采集：主机事件、数据库访问、关键文件操作
- P2 抽样采集：一般应用日志、流量包元数据
- P3 不采集：调试日志、临时文件
防篡改存储（WORM）。 关键审计日志写入WORM存储（AWS S3 Object Lock、Azure Blob Immutable Storage、国产华为OBS），保留期内不可修改、不可删除。即使管理员账号被盗也无法销毁证据。 SIEM选型（安全信息与事件管理）。 - 国际主流：Splunk（功能最强，价高）、IBM QRadar（合规导向）、Microsoft Sentinel（云原生，性价比高）
- 国内主流：奇安信NGSOC、深信服SIP、启明星辰泰合
- 选型要点：①工控协议解析能力（必须支持Modbus/BACnet/DNP3）；②数据压缩比（影响存储成本）；③查询性能（TB级数据秒级响应）
SOAR响应（安全编排自动化与响应）。 SIEM发现告警后，SOAR自动执行： - P0：自动隔离+通知SOC+取证
- P1：自动派单+通知运维
- P2：邮件工单
- P3：日志归档
关键要点 - "全量采集"是误区：采什么取决于"合规要求+业务需要"，盲目全采=存储成本爆炸
- WORM是"反勒索+防抵赖"双重保险：既能防止勒索加密，又能防止"内部人销毁证据"
- SIEM不是"装了就好"：规则调优、误报降噪、剧本编排需要持续运营，否则就是"昂贵的日志存储"
| 
