攻击发生后，单看一台主机或一台网络设备，往往无法还原完整过程。回答“攻击取证需要保留哪些主机与网络日志”，重点不是把所有记录无限期保存，而是让登录、进程活动、网络连接和名称解析等事件能够按时间关联，并保留可核验的原始记录。
下面按七项配置对比主机与网络侧的用途、局限和适用场景。可先覆盖关键服务器、终端及网络出口，再根据系统规模和合规要求扩展。
主机与网络日志：7项配置对比
| 配置项 | 主机侧建议 | 网络侧建议 | 取证价值与限制 |
|---|---|---|---|
| 1. 日志范围 | Windows 可留存 Security、System 及 PowerShell 相关事件；Linux 可收集 journald、auth 记录及 auditd 记录。 | 收集防火墙允许与拒绝记录、DNS 查询日志、DHCP 租约日志、VPN 登录记录及 NetFlow 等流量摘要。 | 主机更接近账号和进程活动；网络侧更适合观察连接方向、时间与通信量。流量摘要通常不包含完整应用内容。 |
| 2. 事件粒度 | 记录登录成功与失败、账号或权限变更、服务安装、关键配置修改和进程启动等事件；按风险选择审计范围。 | 尽量保留源与目的地址、端口、协议、动作、时间及设备标识；DNS 日志保留查询名和响应结果等可用字段。 | 粒度太粗会缺少调查线索；过细则增加存储和隐私负担。优先记录能回答“谁、何时、对什么做了什么”的字段。 |
| 3. 时间与时区 | 统一使用可信时间源，记录时区；检查系统重启、时间调整等可能影响时间线的事件。 | 网关、VPN、DNS 等设备使用一致的时间同步设置，并保留设备时区和时间偏差说明。 | 时钟偏差会让主机登录和网络连接无法准确对应。集中分析前应校验偏差，不能只按日志显示顺序推断先后。 |
| 4. 留存周期与轮转 | 设置日志轮转或事件日志容量，避免空间耗尽后覆盖关键记录；关键系统可单独延长留存。 | 依据设备容量和日志量配置本地缓冲，再转存到集中平台或归档存储。 | 常见做法是在线保留约数周至数月、归档保留数月或更久；具体周期应结合调查响应时间、成本及适用法规确定，并定期验证可读取性。 |
| 5. 集中采集与字段 | 通过系统日志转发或受管采集代理传送，统一主机名、账号、事件时间等字段。 | 使用设备支持的日志转发方式集中收集，记录设备名称、接口或区域等上下文。 | 集中存储可减少单机故障或攻击者删除本地日志造成的缺口；采集链路中断时应告警并保留本地缓冲。 |
| 6. 完整性与证据保存 | 限制本机日志清除权限，及时把记录转出；调查时保留原始文件及其来源信息。 | 限制管理界面和日志导出权限，转存后使用校验值核对文件是否变化。 | 校验值能帮助发现内容变化，但不能单独证明记录产生时未被篡改；还需保存采集时间、操作人和交接记录。 |
| 7. 访问控制与隐私 | 仅授权必要人员查看账号、命令和设备活动记录，避免把不必要的敏感内容写入日志。 | 限制流量和解析记录的查看范围，按岗位授予权限，并记录查询、导出等管理操作。 | 日志可能包含个人信息或业务信息。留存和调阅应遵守组织制度及适用法律，定期清理超过期限的数据。 |
从零配置：先保证日志能关联
- 列出调查对象。登记关键服务器、员工终端、VPN、DNS、DHCP 和防火墙等设备，注明负责人、用途及日志位置。
- 打开必要审计。先启用账号登录、权限变更、关键进程或服务变化，以及网络连接和拒绝事件；对高风险系统增加审计粒度，并检查日志容量。
- 统一时间并集中转发。确认各设备时间源和时区一致，发送一条测试事件，核对集中平台收到的时间、设备名和字段是否完整。
- 设置轮转、留存和告警。根据每日日志量估算存储，配置本地缓冲、归档周期及采集失败告警；抽查日志是否会被提前覆盖。
- 演练导出与核验。按授权选取一段测试记录，导出原始文件、计算校验值并记录操作过程，确认需要时能检索和恢复。
如果资源有限，优先保证关键主机的账号与审计日志，以及网络侧的防火墙、DNS、DHCP 和 VPN 记录连续、时间准确、异地留存。流量摘要与主机审计互相补充，不能彼此替代。这样规划，才能具体回答攻击取证需要保留哪些主机与网络日志，并避免日志虽多却无法用于还原事件。
常见问题
只保存防火墙日志够吗？
不够。防火墙通常能说明连接是否被允许或拒绝，却未必能说明主机上哪个账号启动了什么程序；应与主机审计、DNS 或 VPN 记录关联。
是否必须保存完整网络流量？
不一定。完整流量内容的存储、隐私和访问管理成本较高。多数环境可先留存连接元数据；若有明确调查需求，再评估受控采集特定网络的流量内容。
日志保留多久合适？
没有适用于所有环境的固定期限。依据日志量、调查时效、存储预算和合规要求确定，并用抽查确认归档可读、检索可用。
日志文件导出后要做什么？
保留原始文件，记录来源、采集时间和经手人；生成校验值用于后续比对，并限制文件访问和再次转存权限。
