日志审计与合规存储实战：等保、GDPR要求日志存多久？怎么存才合规？
去年一个客户，接到监管通知要进场检查。技术负责人连夜准备材料，结果卡在了日志上：等保要求的日志留存6个月，他们只存了3个月，因为存储不够。更尴尬的是，翻到6个月前的日志，有几天的记录不完整——当时日志采集脚本出了故障，没人发现。
审计结论：整改。不仅没通过，还被约谈。
这是合规审计最常见的翻车现场：不是不想存，是不知道怎么存才合规。
今天聊聊日志审计与合规存储。不是那种“日志很重要”的废话，而是实打实的：等保、GDPR、SOC2到底要求日志存多久？怎么存才不可篡改？审计来了怎么快速拿出来？
01 合规到底要求存多久？
不同法规对日志留存期限的要求不同。
等保2.0（中国）
根据GB/T 22239-2019标准，日志留存周期要求≥6个月。《网络安全法》第二十一条也明确规定，网络运营者应“按照规定留存相关的网络日志不少于六个月”。对于等保三级系统，要求更严格，通常需要更长的保留期和更强的保护措施。
GDPR（欧盟）
GDPR没有明文规定日志要存几个月，但核心要求是：你能证明你做了该做的事。这意味着：
实际操作中，企业通常保留6-12个月，并根据数据类型分级存储。
SOC2（国际通用）
SOC2关注五大信任服务标准：安全性、可用性、处理完整性、保密性和隐私性。对于审计日志，常见要求是保留至少12个月，且日志必须包含四个关键字段：操作人、操作动作、时间戳、影响资源。
那家客户栽在等保6个月要求上。他们只存了90天，以为够用。这是很多企业的误区：以为合规要求是“建议”，其实是“强制”。
02 日志要存什么内容？
存多久是数量问题，存什么是质量问题。内容不全，审计照样不认。
| 字段 | 说明 | 示例 |
|---|---|---|
| 用户身份 | 谁操作的 | [email protected] |
| 操作动作 | 做了什么 | DELETE、GRANT、CREATE |
| 时间戳 | 何时发生 | 2025-05-14 10:30:22.123 |
| 影响资源 | 操作了哪个对象 | /production/orders表 |
| 来源IP | 从哪操作的 | 192.168.1.100 |
| 操作结果 | 成功还是失败 | 200 OK / 403 Forbidden |
审计人员不看你的配置页面，他们看你导出的日志样本。如果日志里缺了上述任何一个字段，控制项就不完整。
那家客户被指出问题时，发现他们的日志有操作人、有时间、有操作类型，但“影响资源”字段是空的。审计人员说：“我知道谁删了东西，但不知道删了什么。”
03 怎么存才能防篡改？
存了日志不代表安全。如果日志能被随意修改或删除，等于没存。
WORM存储（一次写入，多次读取）
合规审计要求日志不可篡改。WORM技术让日志写入后锁定，在保留期内禁止任何修改或删除操作。
云厂商都支持WORM：
AWS S3对象锁定
阿里云OSS合规保留策略
Azure Blob不可变存储
腾讯云COS对象锁定
配置要点：
设置保留期限（如等保要求6个月，可以设7个月）
保留期内任何人都不能删除，包括root账号
保留期满自动释放，或转入归档存储
权限隔离
只有安全审计员有日志的查询权限，没有修改和删除权限。可以设置：
审计员：可查询、可导出
安全管理员：可配置日志源，不可查日志
任何人：不可删除、不可修改
那家客户后来启用了S3对象锁定，把日志桶设为“合规模式”，保留期7个月。安全负责人说：“以前日志能删，心里没底。现在锁住了，审计再来也不怕。”
04 存储分层：既要合规又要省钱
日志存储成本是很多企业头疼的问题。存6个月，每天几个TB，存储费可能比计算费还高。
| 层级 | 时间范围 | 存储介质 | 成本 | 查询性能 |
|---|---|---|---|---|
| 热存储 | 最近7-30天 | SSD/NVMe | 高 | 毫秒级 |
| 温存储 | 30天-6个月 | 对象存储 | 中 | 秒级 |
| 冷存储/归档 | 6个月以上 | 归档存储、蓝光 | 极低 | 小时级 |
生命周期策略：让日志自动流转
云厂商的日志服务（如SLS、CLS）都支持智能分层存储，热转冷自动完成，查询时自动跨层检索。
那家客户改造后，日志存储成本从每月8000元降到2500元，同时满足了6个月留存要求。
05 审计来了怎么快速响应？
审计人员给的时间通常很短（几天到一周）。提前把证据准备好，能省很多事。
提前准备：
日志导出模板：预先配置好导出格式（CSV/JSON），包含审计必需字段
时间范围筛选：能快速按日期、按用户筛选日志
定期自检：每月抽查一周的日志，确认采集正常、字段完整
报告生成：配置自动化合规报告，一键导出
审计时的常见要求：
那家客户后来每月跑一次自检脚本：随机抽一周的日志，检查字段完整性、检查是否有采集断点。审计再来时，直接导出6个月的日志，附上WORM配置截图，一天搞定。
写在最后
日志合规这件事，说复杂也复杂，说简单也简单。复杂在要满足不同法规的差异化要求，简单在核心只有三条：存够时间、存对内容、存得安全。
那家客户的运维负责人后来总结：“以前觉得日志是给自己看的，现在觉得日志是给别人审的。给自己看，丢了也没事；给别人审，少一个字段都不行。”
你的日志，存够了6个月吗？存了的内容，审计能认吗？日志文件，有人能偷偷删掉吗？今晚回去看看，别等审计来了再补。
