很多新人第一次做日志留存时，容易把"保存6个月"理解成"把日志存在服务器里别删"。但真正落地时会发现，问题远不止天数：日志存哪里、存什么字段、会不会被覆盖、能不能查出来、存储成本怎么控、测评时能不能拿出证据，这些才是容易踩坑的地方。
这篇文章把零散知识点串起来，按合规要求、存储架构、字段规范、容量估算、分级策略、检索导出和运维要点拆开讲，方便直接拿来落地。
知识点1：为什么必须是6个月
《网络安全法》第二十一条明确要求，网络运营者应当采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。
等保2.0对三级及以上系统的审计日志留存也通常要求不少于180天。
这里有两个容易混淆的点：
- 6个月是最低要求，不是所有场景都只存6个月。金融、政务、医疗、互联网平台等场景，可能要求1年甚至3年。
- 日志不是只存访问记录。合规检查通常关注的是：谁、在什么时间、从哪台终端、做了什么操作、结果是否成功。
如果日志只存在员工电脑本地，重装系统后可能就没了；如果只存在网关设备里，磁盘满了又会自动覆盖，这两种情况都不算真正落地。
知识点2：日志到底要存什么
一份能用于审计和取证的上网行为日志，至少要包含这些字段：
- 时间戳：记录操作发生时间；
- 人员/账号：能对应到具体人，而不是只有IP；
- 终端信息：终端IP、主机名、设备编号；
- 访问对象：URL、搜索关键词、应用名称、文件名；
- 操作类型：网页访问、文件上传、下载、外发、程序运行；
如果只记录IP，不绑定账号，等保测评时可能被判定为"无法追溯到具体人员"。
知识点3：日志不能只存在一个地方
常见三种落地路径：
| 方案 | 适用场景 | 注意事项 |
|---|---|---|
| 终端审计平台 | 内网办公终端、文件/外设/上网行为审计 | 日志需集中上传服务端，避免只留本地 |
| 网关/防火墙+日志服务器 | 网络出口流量审计 | 需外发Syslog，本地存储通常不够6个月 |
| 云日志服务/SIEM/自建ELK | 服务器、云资源、多系统日志集中 | 自建运维成本高，云方案需注意数据驻留 |
比较稳妥的做法是"网关宏观流量管控 + 终端精细化行为审计"组合。 网关能看到出口流量，但 HTTPS 加密流量、离线终端、网盘上传、IM外发等场景，终端侧审计更完整。
知识点4：6个月存储到底要多少空间
存储容量不能拍脑袋估。可以按这个公式粗算：
总存储量 ≈ 日均日志量 × 180天 × 冗余系数
冗余系数建议取1.2左右，用于应对日志增长、索引开销和存储冗余。
如果只存URL访问记录，量会小一些；如果同时存文件操作、外设插拔、程序运行、屏幕快照、剪贴板事件，存储压力会明显上升。
知识点5：全量存6个月不一定最划算
日志治理的核心矛盾是：采集越细，存储成本越高；采得太粗，出事又查不到。
比较实用的做法是做分级存储：
- 热日志：最近30天，保留完整字段，支持快速检索；
- 温日志：31--180天，压缩归档，用于合规检查和内部调查；
- 冷日志：180天以上，按行业要求长期归档，例如涉密、金融、政务场景。
高频但低价值的日志，比如普通网页浏览，可以做聚合或压缩；高风险事件日志，比如策略违规、外发拦截、离职前批量拷贝、非授权程序运行，建议长期完整保留。
知识点6：终端侧日志怎么集中归档
如果只做网关审计，员工用个人热点、离线办公、加密网盘、IM工具外发时，很容易出现盲区。
终端侧落地时，建议采用"本地缓存 + 远端归档"的方式：终端产生日志后，先本地短期缓存，再定时上传到服务端；服务端集中存储，终端用户不能随意删除或修改。
这类终端审计平台通常会把网页访问、文件操作、USB插拔、打印、程序运行、邮件外发、网盘上传、搜索关键词等行为集中到统一后台。域智盾软件就属于这种思路：终端行为日志不在员工电脑里"自生自灭"，而是上传到服务端集中留存，支持按账号、终端、时间、操作类型检索，并能配置不少于180天的留存周期。
这样即使员工重装系统、离职注销账号，后台审计链仍然完整。
知识点7：检索和导出能力同样重要
日志存了6个月，但查不出来，等于没存。
落地时要验证几件事：
- 能否按人员、终端、时间段、操作类型检索；
- 能否快速定位某台终端在某一天的完整行为链路；
- 能否导出审计报表，用于内部复盘或合规检查；
- 日志查看、导出权限是否有分级控制；
知识点8：常见踩坑点
-
只存本地日志
员工重装系统或离职后，本地日志丢失。
-
只存访问域名，不存具体行为
HTTPS 环境下，网关很难稳定识别搜索词、上传文件名等细节。
-
日志周期设成90天或30天
不符合《网络安全法》不少于6个月的要求。
-
只记录IP，不绑定账号
无法追溯到具体人员，审计价值下降。
-
日志可被随意删除
没有防篡改和权限控制，取证效力会受影响。
-
无脑全量采集
所有终端都开最高级别审计，存储和查询压力会迅速上升。
企业落地使用技巧
- 先试点，再全量：优先在研发、财务、设计等高风险岗位试点，不要一次性全公司推开。
- 按部门分组配置：普通办公、涉密岗位、外勤终端使用不同审计策略。
- 明确告知审计范围：只针对公司配发终端和工作相关行为，避免引发隐私争议。
- 定期抽查日志完整性：每月确认日志是否连续、是否按时上报、存储是否充足。
- 保留回退机制：策略异常时能快速临时放行，避免影响业务。
- 把日志和告警联动：日志不是出事才查，离职前批量外发、非授权程序运行、异常网盘上传等场景应触发告警。
总结
上网行为审计日志保存6个月，关键不是单纯"多存几个月"，而是要做到集中存储、字段完整、防篡改、可检索、可导出。
终端侧建议采用"本地缓存 + 服务端集中归档"的架构，网关侧配合出口流量审计，再按热、温、冷分层控制存储成本。域智盾软件这类终端审计平台，适合把文件操作、外设使用、程序运行、上网行为、外发通道和屏幕取证整合到统一后台，并按合规要求配置留存周期。
日常运维里，最容易忽略的不是存储不够，而是日志分散、字段缺失、权限混乱和缺少定期抽查。把这些基础环节补齐，6个月留存才不只是合规数字，而是真正能用于追溯和取证的证据链。
责编：璇玑