日志留存六个月的硬要求写在《网络安全法》里，2026 年 1 月 1 日起施行的是 2025 年修正版，相关条款从原来的第二十一条挪到了第二十三条第三项。企业在这里栽跟头，大多是收上来的日志在六个月里断了。集中收集、全网统一时间、磁盘写满有保护，这三道基础关过不了，再贵的日志审计平台也只是个摆设。
很多企业是被甲方合同或者主管单位的整改通知推着开始做日志留存的。运维手上已经有防火墙、交换机、域控、文件服务器各自的控制台，每台都能翻到当天的日志，于是觉得这事本来就有。真到检查那一天，抽查三个月前某台设备的登录记录，多半查不出来。日志要么已经被本地存储轮转覆盖，要么分散在十几台设备里，没人能拼出一条完整的时间线。
这篇按落地顺序讲四件事，法规到底要求留什么、日志量怎么算、自建还是买、部署时会踩哪些坑。
一、六个月留存是谁的要求，条款号变了
要求出自《中华人民共和国网络安全法》。2025 年 10 月 28 日全国人大常委会通过修正决定，自 2026 年 1 月 1 日起施行。修正后条款重新编号，等级保护与日志留存这一条从原来的第二十一条移到第二十三条，第三项的表述没变，采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。
顺手记一下罚则。不履行第二十三条规定的网络安全保护义务，由主管部门责令改正、给予警告，可以处一万元以上五万元以下罚款；拒不改正或者导致危害网络安全等后果的，处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员另处一万元以上十万元以下罚款。金额区间看着不大，但责令改正之后复查不过，就是从五万起步。
等保标准这边，GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》给了更细的落地口径。第二级在安全计算环境的安全审计里要求对审计记录进行保护、定期备份，避免受到未预期的删除、修改或覆盖。第三级多出两条硬要求，一条是保护审计进程防止未授权中断，另一条在安全管理中心部分，要求对分散在各个设备上的审计数据集中收集、汇总分析，并保证留存时间符合法律法规要求。
这两条决定了投入差别。只做二级，把日志就地留存好、保护好、定期备份，技术要求就算够。做三级，集中收集是明文条款，自建平台也好买成品也好，这笔钱省不掉。
有个常见误解要说清。不少人把六个月的起点理解成从系统上线算。实际是按滚动窗口算，任何一天往前推 180 天，这 180 天内的日志都得能调出来。所以留存策略要按不少于 180 天配置，工程上通常会留到 210 天到一年，给巡检、司法取证和归档留余地。
二、先算日志量，再决定买多大的设备
日志审计系统报价按设备数、按日志条数或按存储容量，三种口径都有。不管哪种，你得先知道自己的量级，否则要么容量买小了三个月就写满，要么容量买大一倍在空转。
估算方法分两步，一周内能出结果。
第一步，选 5 到 8 台最能产生日志的设备开启 syslog 外发，边界防火墙、WAF、VPN、核心交换机、域控、文件服务器各挑一台。信息级的调试日志先关掉，只留告警级别以上。连续采集 3 到 7 天，用采集端统计出日均条数。
第二步，按设备类型放大到全网。防火墙、入侵检测、VPN 这类安全设备日志量最大，通常是业务服务器的几倍到十几倍。交换机和路由器以信息级为主，关掉调试后量很小。域控的登录审计随用户数增长。
拿到日均条数后算容量。单条 syslog 的原始大小通常在 200 到 500 字节，加上索引和存储开销，落地后按每条约 0.5 到 1KB 估。容量 = 日均条数 × 留存天数 × 单条落地大小。文本日志的压缩比常见在 5 到 10 倍，冷数据归档还能再降。上面这些系数都是经验区间，实际以采集一周的实测数据为准。
给个量级供参考。一两百人的企业，设备加服务器三四十台，日均日志量在百万条量级，落地不加压缩大约每天几百 MB 到 1GB 多。这个体量一台独立服务器加几 TB 存储就能撑住两年，不必上集群。
容量规划留两样东西。一是增长余量，新上设备、开新审计项都会让量往上走，按每年 20% 到 30% 预留比较稳妥。二是写满保护，磁盘水位到 80% 触发告警，到 90% 停止接收新日志但保留查询和归档，绝不能反过来把最老的日志删掉续写，那正好破坏六个月前提。
三、自建还是买成品日志审计系统
两条路线都能满足集中收集，差别在合规报表和运维门槛。
| 对比项 | 自建（ELK / Graylog / Loki 等开源栈） | 商业日志审计系统 |
|---|---|---|
| 初始投入 | 软件免费，成本在服务器与人力 | 按设备数或日志量授权，一体机或软件形态 |
| 合规报表 | 需自己搭，没有现成的等保条款映射 | 内置合规报表，可按标准条款出检查表 |
| 运维门槛 | 高，索引与存储策略要有人会调 | 低，开箱按向导配置设备接入 |
| 灵活度 | 高，查询和数据调用自由 | 受厂商功能边界限制，定制要付费 |
| 适合谁 | 有专职运维，日志主要用来排障和观测 | 没有专职安全人员，日志主要用来过合规 |
判断标准很直接。做日志的首要目的是应付等保检查和监管抽查，选商业日志审计系统，它的合规报表和现场讲解支持省下的时间超过授权费。首要目的是排障和可观测性，自建 ELK 或 Grafana Loki 更灵活，长期成本也更低。
两者不冲突。syslog 可以同时分发到两台接收端，一份进合规留存平台做长期归档和报表，一份进可观测平台供运维排查，设备侧只配一次。
预算上给个区间参考。开源方案主要是服务器与硬盘成本，一台中等配置的服务器加几 TB 存储，几万元量级。商业日志审计系统按含设备数授权，中小企业常见区间在几万元到十几万元，具体看厂商、授权口径和是否含实施服务，以实际报价为准。年度维保通常按授权价的一定比例收取。
有一条别省。日志服务器要独立于业务服务器，不要为了省钱把它跑在域控或文件服务器上。设备被入侵时日志服务器是第一目标，它跟业务同机等于一锅端。
四、部署时最容易踩的六个点
这六条是现场最高频的问题，按出现频率排。
- 用 UDP 514 单播跨网段丢包。syslog 默认的 UDP 是尽力而为，网络一拥塞就丢，丢的恰好是攻击高峰期的日志。跨网段或跨机房改用 TCP，有条件上 TLS 加密传输。
- 时间和设备对不上。日志服务器、交换机、服务器各自走各自的时钟，事件时间戳差几分钟，就没法把一次入侵串成完整链条。全网统一 NTP 时间源，域内设备指向同一台上游。
- 磁盘写满静默中断。磁盘满了采集进程可能悄悄退出或丢日志，界面上看着一切正常。配置水位告警，并监控采集进程本身。
- 日志服务器自己不在审计范围里。管理员能登录日志服务器删记录，且没人记录这次登录，整个审计体系就没有意义。日志服务器的访问和管理操作必须自审，管理员与业务运维分权。
- 只配了采集没配留存策略。默认的索引生命周期可能只有 30 天，跑半年后回头查第六个月的日志，早被自动轮转删了。留存策略要显式设为不少于 180 天，并核对归档任务真的在执行。
- 设备侧推送早已断掉却没人发现。设备换过配置、重启过，syslog 没恢复，日志停了几个月。给每台设备设一条心跳检测，超时未上报就告警。
五、哪些日志必须收，哪些可以不收
判断标准一条就够。这条日志能不能回答谁在什么时间、从哪台机器、做了什么。能回答的收，答不上的放行到别处。
必收的，按优先级排。
- 边界安全设备。防火墙的允许与拒绝记录、VPN 的登录与断开、WAF 的拦截、入侵检测的告警。这些是安全事件回溯的第一手材料。
- 身份与认证。域控的登录失败与账户变更、堡垒机的会话与命令、业务系统的后台登录。共享账号在这里最容易暴露，配合堡垒机做到一人一号，日志才有审计价值。
- 网络设备的配置变更与登录。交换机和路由器的登录、权限提升、配置下发、接口状态翻转。配置改动要留双人复核的痕迹。
- 服务器操作系统。Windows 的登录、特权使用、账户管理、策略变更；Linux 的
auth/sudo/cron。等级保护在这块有明确条款。 - 数据库的特权操作。登录、权限变更与批量导出。等保范围包含数据库时必须收。
可以不收或只留告警级别的，省容量也降噪声。
- 交换机路由器信息级的接口统计和调试输出，保留警告以上即可。
- 单纯的性能指标，比如 CPU、内存、流量、磁盘 IO。那是监控平台的活，塞进审计系统只会淹掉真正的审计事件。这类需求看内部 IT 监控与告警系统。
- 员工个人终端上的应用日志，除非有专门的终端管控要求。
六、等保现场会怎么查你的日志
测评老师不会只看你界面做得漂不漂亮，他会动手抽查。提前按这四件事自检一遍。
第一，随机报一台设备加一个日期，看你能不能当场调出那天的日志。常见的情况是最近一个月的能查，三个月前的查不到，问题出在留存策略。
第二，挑一条日志，拿设备本地的时间戳和系统里的比对。时间对不上，说明 NTP 没做，这一项直接扣分。
第三，问如果管理员删了日志，你怎么发现。答不上来，等于承认审计记录不受保护。要有操作审计和权限分离。
第四，看设备侧 syslog 是不是还在推。有些设备配置完就再没动过，中间重启后断了，日志实际只收到配置那一天。
配套要准备的材料，留存策略配置文件、归档与备份记录、日志服务器自身的访问审计记录、NTP 配置说明。这几样凑齐，这一项基本就稳了。
七、常见问题
六个月从哪天算起？ 按滚动窗口，任何一天往前推 180 天内的日志都要能取出来。工程上留 210 天更稳妥，以属地主管部门的具体口径为准。
上云了日志还要自己留吗？ 要。云厂商的日志服务可以帮你采集和存储，但留存策略、留存时长和合规责任仍在你这边。确认能导出、能长期保存、到期不会被平台自动清理，并做一次归档验证。
日志审计系统和 SIEM 有什么区别？ 日志审计系统侧重合规留存、集中检索和报表，中小企业多半够用。SIEM 叠加关联规则和安全事件响应，投入和运维要求都更高，除非有专门的安全运营团队，否则用不上。
只买一台日志审计一体机够不够？ 看设备数和日志量。几十台设备、日均百万条以内一台够用，要预留增长余量并核对授权设备数上限。设备数或日志量接近上限时，升级授权比换硬件更常见。
自建开源方案能过等保吗？ 技术能力上够，集中收集、查询、留存都能做到。风险在合规报表和现场解释，自建没有现成的条款映射表，需要自己整理检查材料。有专人维护可以直接上。
日志留存这件事，技术难度不高，难在长期不断。六个月是一个连续窗口，中间断一天就不算数。
如果你正在准备等保，或者不确定现有设备该收哪些日志、现在存下来的量够不够，可以先看我们的网络设备操作审计方案和企业内网安全与漏洞管理方案，也可以联系我们做一次日志现状梳理。两篇相关的落地文章见堡垒机选型与等保测评全流程，更多选型内容在技术分享栏目。