等级保护合规参考(日志审计).docxVIP

等级保护合规参考(日志审计)

在当前数字化业务深度渗透各行业运营场景的背景下，信息系统承载的核心业务数据与用户敏感信息规模持续扩张，网络攻击的隐蔽性、破坏性也不断升级，日志审计作为等级保护2.0标准体系中安全计算环境、安全管理中心两大核心域的关键管控措施，其合规落地质量直接决定了等保测评的整体结论，更成为组织抵御内外部安全风险、实现安全事件可追溯的核心支撑。从等级保护的合规要求来看，日志审计覆盖了从日志生成、日志传输、日志存储到日志分析、全生命周期审计的每一个环节，每一个环节都对应明确的合规指标，需要组织结合自身系统的定级情况，匹配对应的管控强度。

首先是日志生成环节的合规要求落地，根据GB/T22239-2019《信息安全技术网络安全等级保护基本要求》，针对不同定级的系统，日志生成的覆盖范围、日志内容粒度都有明确差异。对于第二级及以上的信息系统，要求覆盖所有服务器、网络设备、安全设备、应用系统、数据库及终端用户操作，不少组织在落地阶段容易出现覆盖盲区，比如仅采集了核心网络设备和防火墙的日志，遗漏了物联网感知节点、工业控制设备、云原生组件、容器集群、无服务器应用等新型资产的日志采集，这类盲区会直接导致等保测评中被判定为不符合项。从日志内容粒度来看，等级保护明确要求，每一条日志必须至少包含事件发生的时间戳、主体身份、事件类型、操作内容、事件结果、源IP地址、目的IP地址、端口信息