86、日志记录、监控与审计：保障系统安全的关键实践

日志记录、监控与审计：保障系统安全的关键实践

1. 日志记录与监控概述

日志记录、监控和审计程序对于组织预防安全事件以及在事件发生时提供有效响应至关重要。日志记录是将事件记录到各种日志文件或数据库中，而监控则是对这些记录的事件进行审查。两者结合，使组织能够跟踪、记录和审查活动，实现全面的问责制。

日志记录有助于组织检测可能对系统的机密性、完整性或可用性产生负面影响的不良事件。在事件发生后，日志还可用于重建活动，以确定发生了什么，并在必要时起诉相关责任人。

2. 日志记录技术

日志记录是将事件信息记录到日志文件或数据库的过程。它可以捕获事件、更改、消息和其他描述系统活动的数据。日志通常会记录诸如事件内容、发生时间、发生地点、责任人，有时还包括事件发生方式等详细信息。当需要查找近期发生的事件信息时，日志是一个很好的起点。

例如，在微软系统的事件查看器中，可以看到一个用户名为 Darril Gibson 的用户在 11 月 10 日下午 4:05 访问了位于 C:\Payroll 文件夹中的 PayrollData (Confidential).xlsx 文件。只要身份识别和认证过程安全可靠，就足以让 Darril 对访问该文件负责。但如果组织的认证过程不安全，容易被他人冒用身份，Darril 可能会被错误指控。这凸显了安全的身份识别和认证实践是实现问责制的先决条件。

日志通常被称为审计日志，日志记录也常被称为审计日志记录。但需要注意的是，审计不仅仅是日志记录，审计还包括对环境进行检查以确保合规性。

3. 常见日志类型