等保2.0要求日志留存不少于6个月，这是合规底线，但审计留存时长的真正难点在于"如何证明日志完整、可追溯、防篡改"，而不只是把数据堆在硬盘里。很多企业把"留存6个月"简单理解为"存够180天"，等保测评时却被扣分，问题恰恰出在对"审计留存"四个字的理解偏差上。
等保测评日志留存多久才合规：先分清"6个月"和"不少于6个月"
行业共识认为，等保2.0标准里提到的"日志留存不少于6个月"，依据来自《网络安全法》第二十一条，这里的关键词是不少于，不是"刚好6个月"，从测评实践看，存储天数低于180天直接判不合规，但存储天数够了,也不代表测评一定能过。
测评机构在检查时，主要看两件事：日志是否完整和日志是否防篡改。
日志完整性：不是所有日志都能凑数
很多客户问过同一个问题："我把服务器系统日志、防火墙日志、数据库日志都开了，够不够？"答案是：不够，完整的审计日志范围,至少要覆盖以下五类：
- 网络设备日志（交换机、路由器、防火墙的登录与配置变更记录）
- 安全设备日志（IPS/IDS、WAF、漏洞扫描设备的告警与操作记录）
- 主机操作系统日志（Windows事件日志、Linux syslog，包括登录、权限变更、命令执行）
- 数据库审计日志（对敏感表的增删改查操作,尤其是SQL语句记录）
- 应用系统日志（用户登录、关键业务操作、异常行为）
业内专家指出，等保测评中常出现的问题是：主机日志开了，但数据库日志没开；数据库日志开了，但没记录SQL语句原文,这些细节都是扣分项。
日志防篡改：留存时长从"生成时间"还是"入库时间"算
这是最容易被忽视的坑，审计留存时长要求的底层逻辑是"可追溯"，如果日志能被人为修改或删除，留存再久也没意义，测评时，检查人员会查看日志存储介质是否具备
防删除、防修改能力,常见的做法有三种：
- 使用WORM（一次写入多次读取）存储设备
- 日志服务器开启哈希校验功能，定期比对日志完整性
- 将日志同步至对象存储并开启版本管理或合规保留策略
等保2.0日志留存6个月的具体落地方式：不同规模企业的不同选择
中小型企业：用现有设备改造，成本可控
如果公司没有独立的日志审计系统，可以采用"存量资源改造"方案,以一台中等配置的Linux服务器为例：
- 部署syslog-ng或rsyslog，集中接收各类设备的日志
- 配置logrotate，按天切割日志文件，保留180天以上
- 设置systemd定时任务，每天将日志压缩后上传至对象存储
这种方式能应付小型网络的等保定级测评，但要注意：收集能力有限，若日均日志量超过10GB，建议直接上商用日志平台。
中大型企业：集中式日志管理平台是标配
这里直接给一个参考容量计算公式：日志存储容量 = 日均日志量(GB) × 留存天数 × 1.2（冗余系数），举个例子，某企业每天产生50GB日志，留存6个月，至少要准备50 × 180 × 1.2 ≈ 10.8TB的可用存储空间。
选型时,目前主流方案有：
- 自建ELK（Elasticsearch + Logstash + Kibana）：适合有专职运维团队的公司，license费用低但维护成本高
- 商用Splunk或ArcSight：功能强，但授权费用较高，适合金融、能源行业
- 国产日志审计一体机：如奇安信、安恒、绿盟等品牌，等保测评机构认可度高，开箱即用，价格从几万到几十万不等
云上业务：别忘检查云平台自带的日志服务
不少业务已经迁移上云，以为云平台会负责日志留存，这个认知有偏差，云厂商（如简米云、酷番云、华为云）默认只保存操作审计日志，业务系统自身的日志留存仍需客户自行配置,具体操作路径为：
-
简米云：云安全中心 → 日志分析 → 开启全量日志采集，设置存储周期为180天
- 酷番云：CLS日志服务 → 日志集管理 → 修改保存时间
- 华为云：云日志服务LTS → 日志组 → 配置日志存储时长
等保整改日志存储超6个月：724小时业务的特别提醒
时间基准以"绝对时间"还是"运行小时数"为准
这里涉及一个比较实际的疑问："等保测评日志留存多久"和"设备运行时间"有没有关系？答案是有关系,而且很多运维人员会算错。
部分设备（如工控系统、医疗设备）不是7×24小时连续运行，等保标准里的"留存不少于6个月"，指的自然日6个月，不区分设备是否每天开机，如果设备每周只开两天，日志实际覆盖周期仍要拉长到自然日180天以上，存储容量要按实际运行时长产生的日志量来计算，不能直接按365天均摊。
时间同步是隐藏的扣分点
留存时长的起点，是日志记录上的时间戳，如果服务器时间没同步，设备间日志时间漂移几小时甚至几天，审计追踪时无法还原真实事件顺序，测评项里明确要求核心设备必须开启NTP时间同步,操作建议：
- 内网部署一台NTP服务器，同步所有网络设备、服务器、安全设备时间
- 定期检查设备时间偏差，超过1秒就要告警
- 日志平台里的时间字段统一使用UTC或GMT+8，不要混用
等保测评费用与日志存储的隐性关系
很多企业在预算等保测评费用时，只算了测评服务费，没算日志存储的改造成本，等保测评机构上门检查前，如果日志留存不达标，通常会给一段整改期，整改期内新增的存储采购、软件授权费用,往往比测评费本身还高。
不同等级下的存储方案差异
- 二级等保：对日志留存的技术要求相对基础，集中存储+定期备份即可满足
- 三级等保：明确要求日志记录需要保护并防止未授权访问
，建议上独立的日志审计系统或安全分析平台
- 四级等保：在三级基础上，对日志记录的实时性和完整性校验要求更高，通常需要双机热备或异地冗余
"留存时长"之外的三个审计小细节
自查时不光盯时间长度,下面三个点才是测评扣分重灾区：
- 日志格式是否标准：不要只用自定义文本格式，尽量使用标准的Syslog或CEF格式，方便审计人员解读
- 能否快速检索：存了180天的数据，如果查一条记录要全文件扫描几分钟，测评现场会非常被动，建议提前建立索引，确保日志平台查询响应在秒级
- 备份恢复验证：做了备份不等于备份可用，每季度随机抽取一个备份文件恢复测试，确保日志真的能读出来
等保日志留存要求常见疑问Q&A
问：等保2.0要求日志留存不少于6个月，是从设备上线那天算，还是从等保测评那天算？
答：从日志生成日期当天计算，等保检查的是历史时段内的日志记录，比如2026年6月来测评，需要能调出2024年12月至今的完整日志，设备中途重启、断过电,缺失时间段也会被认定为留存不完整。
问：公司内部有视频监控录像，能替代日志审计留存吗？
答：不能，视频监控属于物理环境安全范畴，等保里的审计留存特指网络日志、主机日志、应用日志、数据库日志，视频画面无法记录到具体的命令执行、数据读取、越权访问等内容,两者不能互相替代。
问：日志留存超过6个月后，老日志可以直接删掉吗？
答：可以删除，但建议按照"在线热存+离线冷备"分层次处理，等保要求的是可查询时间范围不少于6个月，超过6个月的日志可归档至低成本存储，压缩打包后保留至少1年，以备公安机关或行业监管调阅，直接清空有风险，因为事后追查的窗口期往往会超过半年。