五类必留证据
网络运行与安全事件日志、账号与权限变更记录、漏洞发现与补丁闭环单、应急预案演练记录、外包与第三方接入记录。这五类覆盖了检查最常问的问题；只留登录日志远远不够，事件调查往往要还原访问路径与操作序列。
日志要能对时
多台设备时钟不一致，日志拼不出时间线，是最常见的隐性缺陷。落地做法是统一时间源、采集到集中存储、按系统打标签，并定期抽查时间偏差。没有对时的日志在事件复盘时几乎没法用，数量再多也没意义。
留存与访问控制
留存不少于六个月，重要系统建议更长；日志存储与被审计系统分权，写入后不可修改，查询留二次记录。谁能查日志、谁能删日志要分开，否则内部人员的一次操作就能让证据消失，事后无从追责，这一步常被忽略。
审计节奏与闭环
月度看告警是否闭环、季度查权限与外包接入、年度演练并复盘。审计输出的不是问题清单，而是带责任人与期限的整改单；下一轮先看上一轮整改是否关闭，否则每年都在重复发现同一批问题，整改单要编号留档。
与数据审计分开
网络安全审计看系统与网络，数据安全审计看数据处理活动与授权链，两者可以共用日志平台，但对象、证据包与结论要分开成文。混在一起的后果是检查时两边都答不完整，也很难看出责任归属。
适用与不适用
适合谁
- 需要应对网络安全检查与事件复盘的企业
- 系统多、运维外包多、日志分散的组织
- 刚发生安全事件、需要还原时间线的团队
不适合谁
- 尚未梳理系统与日志源清单的团队
- 只想买日志平台、不做流程与责任分工的项目
典型场景
某企业的告警长期没人闭环，事件复盘时连登录来源都对不上。安全团队先统一时间源、把主机与网关日志集中，再按五类证据整理目录；月度例会只看未闭环告警，季度抽查外包接入记录。一次异常登录被还原到具体账号与操作时段，处置与报告都有据可查。
可执行步骤
- 梳理系统与设备清单，确认日志源、采集方式与覆盖缺口，标出未接入项，形成清单
- 统一时间源，集中存储并设置留存期与扩容策略，避免关键时段被自动覆盖
- 按五类证据建立目录、责任人与归档周期，每月更新台账并核对缺项，缺项挂人
- 每月核对告警是否闭环，每季抽查外包接入与权限变更记录，形成报告，抄送管理层
- 年度演练后更新预案，同步调整证据模板、责任岗位与应急联系人，并组织复训
常见坑
- 各设备时钟差几分钟，日志对不上，复盘时先争论时间线，真正的入口反而没人查，结论也难落地，复盘会往往开成争论会。
- 日志与业务系统同权限，运维例行清理时顺手删掉，证据消失得无声无息，也查不出是谁删的，追责也无从谈起。
- 审计只出问题清单，不写责任人与整改期限，下一轮检查同样的问题原样再出现，年年整改年年有。
- 外包接入只留工单、不留会话记录，出事后无法确认对方到底做了什么操作，责任划分只能靠猜，事后各说各话。
自检与验收清单
- 五类证据是否都有采集、归档、责任人与更新周期
- 所有日志源时间是否统一，并定期校验偏差，有校验记录
- 日志查询与删除权限是否分离，操作是否留痕，可追溯到人
- 上轮整改是否逐项关闭，并有复核记录与签字确认
- 外包接入是否保留会话与命令记录，可回放，可导出
常见问题
日志平台买了就够了吗？
平台只是容器。检查关心的是日志是否覆盖关键系统、时间是否统一、留存是否达标、谁能访问。缺采集范围与权限设计，平台再贵也拼不出时间线；建议先做日志源清单，再选型。
留存六个月之后能删吗？
到期可以按制度清理，但建议先确认行业监管是否有更长要求，并保留清理记录。清理动作本身也要留痕，否则事后无法区分按制度删除与为掩盖问题删除，这两种情形在调查中性质完全不同。
审计报告需要谁签字？
由客户方安全负责人或分管领导签认，涉及对外提交的，建议经法务复核。服务机构可以提供记录、导出与说明，但不签署合规结论；签字意味着对事实与整改承诺负责，不能由外部代替。