物理隔离网络里的日志留存，核心思路是“双轨采集、单向传输、独立存储、定期校验”，在无法联网的封闭环境里，用一套本地化、可审计的日志平台把分散的设备记录统一收拢，才能满足合规审查和事后溯源需求。
为什么物理隔离网络更需要认真搭日志留存
很多单位觉得物理隔离就是绝对安全，日志随便记记就行，内部人员误操作、违规外联、终端异常、数据窃取，这些风险在隔离网里同样存在，而且因为缺少外部攻击的特征，更容易被忽视，行业共识认为，物理隔离网络的日志价值不在于防住外部入侵，而在于事后还原现场一旦发生泄密或违规事件，没有完整的日志链,连追责都无从谈起。
从合规角度看，网络安全法、等级保护2.0、以及各行业的保密管理要求，都对日志留存提出了明确要求，比如日志保存时间不少于六个月、记录内容包括用户登录、操作行为、网络访问等，在物理隔离网里，这些要求同样适用，甚至因为涉密或高敏感属性,审查更严格。
物理隔离网络日志留存的三大难点
搭建之前，先清楚痛点，不然做出来的系统要么跑不起来,要么留着也没用。
- 设备分散，格式五花八门，交换机、防火墙、服务器、数据库、堡垒机、终端，各自产生日志，格式有syslog、有文件、有Windows事件日志,还有的干脆只往本地写。
- 传输通道受限，不能走互联网，常规的远程日志服务器、云端分析平台统统不可用，有些单位内部有横向网络流量限制，日志要跨安全域传输,必须过单向光闸或者人工摆渡。
- 存储空间和性能矛盾，日志量大，尤其终端和行为审计类日志，一天轻松几个GB，物理隔离网通常服务器配置不高，存储扩容也麻烦,随便存三个月就可能磁盘告警。
日志留存架构怎么搭：双轨采集，单向汇聚
物理隔离网络的日志留存架构，我推荐分成四层：采集层、传输层、存储层、审计层。
采集层：能采尽采，优先被动监听
采集范围不能只盯网络设备，终端日志、应用日志、数据库日志一个都不能少,具体做法：
- 网络设备和安全设备：开启syslog，指向内部日志服务器，如果设备支持，用等保要求的格式,比如CEF格式。
- Windows服务器和终端：部署轻量agent，把安全日志、系统日志、PowerShell操作记录转发出来，注意agent要支持离线策略,断网时先缓存本地。
- Linux服务器和应用：通过rsyslog或filebeat收集，重点记录登录记录、sudo命令、关键文件的访问日志。
- 数据库：开启审计日志，记录SQL操作、登录失败、权限变更，不少数据库默认关审计,务必手动开。
- 堡垒机：堡垒机本身就有完整的操作录像和命令记录，这是日志存档的核心来源,建议直接旁路镜像一份。
采集层有个容易踩的坑：不要用业务服务器去转发日志，要独立建采集服务器，避免单点故障影响业务，采集间隔不要设太短，网络设备日志每5秒推送一次就够,终端日志可以实时或每分钟批量上报。
传输层：单向光闸加缓存，别硬传
物理隔离网内部通常还有安全域划分，比如生产域、办公域、管理域，日志要从各个域汇聚到统一存储中心,不能直接双向互通。
- 域间传输优先走单向光闸，光闸只允许数据从采集侧流向存储侧，反向没有任何通道,物理上切断回传风险。
- 如果条件不允许，退一步用安全数据交换平台，但必须限定源地址、目标地址、端口和传输协议,白名单之外一律拒绝。
- 传输链路要加本地缓存，采集服务器上留500GB以上的缓冲区，防止存储端临时故障时日志丢失，缓冲区写满后按先进先出覆盖,同时报警。
存储层：热温冷分级，留存至少一年
存储层是物理隔离网络日志留存的核心，别把所有日志塞一块,按时间维度和访问频率做分级：
| 存储等级 | 时间范围 | 存储介质 | 响应速度 | 用途 |
|---|---|---|---|---|
| 热存储 | 最近1个月 | SAS盘或SSD | 秒级 | 日常检索、告警分析 |
| 温存储 | 1到6个月 | SATA盘 | 分钟级 | 按月归档，支持导出 |
| 冷存储 | 6个月以上 | 磁带库或光盘 | 小时级 | 合规审计、长期留存 |
总容量规划有个经验值：每天日志量约50GB的话，留存一年需要18TB左右（含索引开销），实际搭建时先按现有设备数量估算，再乘1.5倍冗余，冷存储介质建议用WORM（一次写多次读）光盘或磁带,防止日志被篡改。
审计层：统一查询，关键操作留痕
日志存了不查等于白存，审计层要把日志解析成统一格式,至少支持以下查询：
- 按时间范围、IP地址、账号、操作类型筛选。
- 对登录失败、越权访问、批量导出等行为做告警。
- 支持导出PDF或Excel报告,带有不可篡改的哈希值。
这里推荐部署一套开源ELK或商业化SOC平台，如果涉密等级高，可以选国产化产品，比如奇安信、天融信的日志审计系统，它们支持国产化服务器和操作系统,符合分级保护要求。
实操步骤：从零开始搭建一套能落地的日志平台
假设你手头有10台网络设备、30台Windows服务器、50台Linux终端，需要在一周内完成日志留存搭建,参考以下步骤：
- 盘点日志源，用表格列出现有设备，逐个确认是否支持syslog、是否有agent可装、日志级别是否开启,这一步大约半天。
- 规划IP和端口，给每台采集服务器分配固定IP，规划syslog端口（默认514）、https端口、agent通信端口，在交换机上配好ACL,只允许特定源访问。
- 部署采集服务器，安装Logstash或Rsyslog，按设备类型写解析规则，重点解析：时间戳、源/目的IP、源/目的端口、事件类型、用户、操作结果。
- 配置转发，网络设备上开启syslog，指向采集服务器IP，Windows服务器安装Winlogbeat，Linux服务器安装Filebeat，证书用自签名,内网环境不用考虑外部CA。
- 搭存储和索引，Elasticsearch集群至少3节点，分片数按日志类型设置，索引按天滚动，冷热节点分离,老索引自动迁移到冷节点。
- 做告警和报表，用Kibana或Grafana设计几个关键仪表盘，今日登录失败Top10”“异常外联尝试”“特权账号操作记录”。
- 验证和演练，模拟一次违规操作，比如在终端上尝试sudo提权，然后去平台里查这条日志，确认记录完整、时间准确、字段可检索,务必把验证结果截图存档。
Q&A：物理隔离网络日志留存常见疑问
物理隔离网络的日志留存有什么特殊要求？
物理隔离网络通常指与互联网没有任何连接的内部网络，因此日志不能依赖云服务或外部日志平台，必须在内部部署独立的日志存储，同时需要满足等级保护和保密相关标准，要求日志留存不少于六个月，涉及国家秘密的网络建议留存一年以上,并使用防篡改技术保证日志真实性。
日志服务器被攻破怎么办？
在物理隔离网络里，日志服务器被攻破的可能性较低，但仍需预防，建议将日志实时同步到两个独立的存储节点，一个用于日常查询，一个写死后不可修改，存储节点只开放日志写入端口，关闭对外管理接口,管理员通过堡垒机跳转登录。
哪些日志最容易漏记？
最容易漏的是终端USB插拔记录、打印机使用记录、虚拟机管理平台的操作日志，很多人只关注服务器和网络设备，忽略了终端外设行为，建议在终端agent里开启外设监控，并在虚拟化平台（如VMware或OpenStack）上开启audit log,统一转发到采集服务器。
结尾说一句实在话：物理隔离网的日志留存，不需要追求花哨的大数据技术，把采集完整、单向可控、存储够久、查得方便这四件事做扎实,才能在安全检查和突发事件里真正派上用场。