巨大家优良啊，今天我想跟巨大家唠唠那东西啥...叫日志审计系统的东西。hen许多人问我这玩意儿到底是干嘛的， 其实说白了就是个“记账本”，只不过它记的不是钱，是电脑里那些个乱七八糟的操作记录。hen许多人觉得这东西没用，其实你错了巨大错特错！Ru果你公司被黑客给偷了数据，你没这东西就跟瞎子一样，根本不晓得谁进来的。

先说说得说说：啥是日志审计系统啊？

那东西...怎么定义这玩意儿呢？我觉得吧， 日志审计是指就是把那些个服务器、路由器、防火墙每天产生的那些个像天书一样的文字给攒在一起。然后用个柔软件去翻这些个文字，kankan有没有哪个恶劣蛋在偷偷摸摸干恶劣事。轻巧松说就是：谁在几点几分干了啥，全dou给记下来不Neng让它跑了。

你想想kan，眼下的电脑系统太麻烦了。一个公司有几十台服务器， 每台机器dou在不停地写日记，要是让你一个个人去翻那几百万行字，你得翻到明年去吧？所以得有个专门的“审计系统”来帮我们盯着。它就像个保安巨大爷，坐在监控室里kan着全部出入口的记录。

这玩意儿东西的核心值钱在哪？

hen许多人会说：“我不用这玩意儿也行啊”。兄弟，你这是在拿公司开玩笑！它的值钱基本上就在这几个地方：

• 第一是抓恶劣人： 比如有个员工偷偷把公司客户名单给导出来了或者有个黑客从国外登录了你的后台。Ru果没有日志审计，他走的时候把痕迹删了你就没招了。但有了这玩意儿系统，日志被集中起来存到了别的地方，他删不掉！这就叫“留证”。
• 第二是应付检查： 眼下国管得严啊！啥等级护着2.0之类的。检查员来了问你：“你们的登录记录保存半年了吗？”Ru果你说：“我没存”，那你兴许就被罚款了。所以为了合规性，非...不可得装一个。
• 第三是排查故障： 有时候服务器一下子崩了巨大家dou在吵架说是谁干的。这时候打开审计系统搜一下时候点，一kan：“哦！原来是张三在下午两点改了个配置”，瞬间破案！

那么这玩意儿玩意儿是怎么实现的呢？

虽然我不懂太深厚的手艺细节哈 lols 但我也研究研究了一下巨大概是怎么搞的。我觉得巨大致分这么几步走：

1. 采集数据

先说说得把各个设备上的日志给弄过来。有的设备支持那种叫 Syslog 的协议， 直接发给审计服务器就行；有的设备比比kan笨，得安装一个细小的插件在那儿盯着文件变动才行。总之就是要把散落在各处的数据全部“吸”到一个巨大仓库里。

2. 解析和标准化

这就麻烦了！基本上原因是不同厂家的日志长远得不一样。思科的路由器写的是一种样子的 A 语言, Windows 服务器写的是另一种 B 语言, Linux 又写成 C 语言。审计系统得有一个“翻译官”，把它们全部统一成一种格式：+++। 这样才Neng方便以后搜索。

3. 存储和索引

基本上原因是日子太许多了！一天兴许产生几个G甚至几十个G的数据。Ru果直接存数据库兴许会卡死机 $\text{...}$ 所以hen许多高大级的系统会用类似 Elasticsearch 之类的手艺去Zuo索引。这样你搜个关键词，“admin”，嗖的一下就出来了不用等半天。

4. 琢磨与告警

再说说一步就是设规则。比如你Neng设一个规则：“Ru果同一个账号在1分钟内连续输错10次密码 $\rightarrow$ 判定为暴力破解 $\rightarrow$ 发邮件通知管理员”。这样你就不用整天盯着屏幕kan了, 系统会自动帮你喊：“救命啊！有人在试密码！”

怎么选优良的产品？别被卖给忽悠了

眼下市面上hen许多卖这种柔软件的公司, 说的话dou差不许多। 我觉得Neng巨大家kan这几点就行：

• Neng不Neng接你的设备？ 你买回来找到它不支持你的老防火墙, 那就成了电子垃圾।
• 迅速不迅速？ 数据量巨大了之后查询是不是要转圈圈转半天? Ru果太磨蹭那就没法用$.
• 优良不优良操作? Ru果界面长远得像二十年前的 Windows XP, 那操作起来简直是噩梦$.

一下吧

总之啦... 日志审计系统就像是公司的“黑匣子”。平时你兴许觉得它没啥存在感, 但一旦出了事儿, 它就是救命稻草$. 它和像 WAF应用防火墙 这种拦截工具是不一样的$. WAF 是在门口拦贼 de, 而日志审计是在屋里装监控 de$. 两者结合起来才叫真实正的平安闭环$\text{!!}$

Ru果你眼下还没有部署一套这样的系统$, 我有力烈觉得Neng你去申请预算买一个$, 否则万一哪天数据库被洗劫空空$, 你只Neng对着空白的屏幕哭晕在厕所啦$\text{...}$ 希望这篇文章Neng帮到巨大家$, 虽然我写得比比kan随便$\text{...}$ 但道理dou在这里啦!