日志记录与监控不足

日志记录和监控往往是在问题发生后才被补救的措施，但实际上，未能确保有效的日志记录和监控可能会带来高昂的代价。

一方面，当发生安全事件（无论是否与安全相关）时，如果缺乏或完全没有日志，将无法查明真相。另一方面，记录过多的数据可能引发隐私问题，进而导致监管合规风险。

以下我们将介绍一些最佳实践，帮助您优化日志记录与监控工作。

最佳实践

让我们来看看实现有效日志记录与监控的一些最佳实践。

敏感功能的审计日志

针对敏感事件创建审计日志至关重要，例如登录尝试（无论成功与否）、用户账户变更、访问或修改敏感数据等类似操作。这不仅适用于普通用户，也适用于内部或管理人员。

当怀疑发生未经授权的访问时，无论攻击者是内部人员还是外部人员，记录这些信息都极具参考价值。

一旦此类事件发生，能够追踪谁访问了哪些数据至关重要，这有助于评估事件的规模和影响范围。

错误日志

错误和警告日志不仅是监控应用程序健康状况的通用工程最佳实践，还可以作为预警信号。

当攻击者试图发现漏洞时，往往会产生大量的错误和警告信息，这可以为您提供线索，提示应用程序可能正面临攻击。

将日志存储在集中位置

日志应始终实时传输并存储在集中位置。这样做既能确保 SIEM 系统能立即分析日志，也能防止攻击者在入侵服务器后篡改或删除日志。

设定日志保留期限

现实情况往往很残酷，大多数安全漏洞需要数天才能被发现，事实上，有 20% 的漏洞需要 数月 才能被察觉。当从入侵到发现的时间跨度如此之长时，日志往往是确定事件真相的唯一数据来源。

因此，将日志存储一段明确的时间显得尤为重要。PCI 等标准要求日志必须能够即时调取（至少涵盖过去 3 个月），且过去 12 个月内的日志必须能够按需恢复。

这种方法在轻松启动潜在事件调查与通过冷存储管理成本之间取得了良好的平衡。

定期审计日志中的个人身份信息 (PII)

日志对于调查潜在事件非常有用，但现实情况是，日志本身也可能引发安全事件。

在保留调查事件所需的信息与过度记录之间，需要找到一个微妙的平衡点。如果不小心在日志中包含了个人身份信息 (PII)，很容易导致隐私合规问题。

定期审计日志中的个人身份信息并确保将其清除至关重要。

‍