日志留存 6 个月是法定底线，但真正决定能不能通过检查的是三件事：留的是不是原始记录、时间准不准、违规处置有没有留痕。机房栽跟头的地方，往往不是时长不够，而是"存了却查不出、查出来对不上"。

一、6 个月这个数字从哪来，谁在查

《网络安全法》第二十一条要求，网络运营者应当采取监测、记录网络运行状态和网络安全事件的技术措施，并按规定留存相关网络日志不少于六个月。对 IDC、ISP、CDN 和云服务商来说，这个要求的落地载体就是信息安全管理系统，也就是信安系统。

省通信管理局的日常监管、专项抽查、许可证年检，都会看信安系统里的日志留存与查询能力。不同业务侧重点不同：

• IDC / ISP：用户接入账号、上下线记录、NAT 转换前后的 IP 与端口对应关系、访问日志
• CDN：节点侧访问日志、活跃域名与活跃 IP
• 云业务（IRCS）：云资源操作日志、动态资源变化记录

二、留什么：四类日志缺一不可

1. 访问日志。时间、源 IP、源端口、目的 IP、目的端口、URL 或域名、协议、流量。这是溯源的主证据，必须能定位到单条连接，不能只是汇总。
2. 过滤日志。命中哪条规则、处置动作是阻断还是放行、处置发生在什么时间。用来证明"你确实管了"。
3. 监测日志。违规网站、违规内容命中的记录，包括发现时间、判定依据、处置结果与恢复时间。
4. 事务日志。管理员登录、指令下发、配置变更、日志导出记录，用于内部审计和防篡改。

很多机房只留了第一类，后三类空了，检查时问"这条违规网站你们处置过没有、证据在哪"，就答不上来。

三、怎么存：先把容量算清楚，再谈方案

粗算公式：日均日志量（MB/s）× 86400 秒 × 180 天 × 1.3（冗余与索引开销）。

举个实际例子：单节点 1Gbps 出口，若记录连接五元组与 URL 摘要，日均日志量按 8 到 15 MB/s 估，180 天原始量约 1.4 到 2.6 TB，加上索引建议按 2 到 4 TB 规划。带宽越大、URL 字段越长，数字要往上调。

几条实操建议：

• 存储按"原始记录 + 索引"两级规划。索引可以短周期滚动，原始记录必须撑满 180 天。
• 严禁滚动覆盖。磁盘写满就自动删旧数据，是最常见的违规形态，也是检查时一查一个准。
• 全节点统一 NTP 校时。时间偏差超过一分钟，日志在取证环节基本作废。
• 关键日志做只读或异地冷备，避免误删、避免管理员一人就能清库。

四、怎么查：抽查现场要能在 5 分钟内出结果

管局来现场，动作通常就三个，建议你提前自己练一遍：

1. 给一个 IP，要求查出某天某时段的访问记录，以及对应哪个接入账号。
2. 给一个域名，要求查活跃 IP 和访问量排名。
3. 给一个违规站点，要求出示发现时间、处置动作、恢复时间。

如果这三件事都得技术上门现配环境、现写 SQL 才做得出来，那基本会被记一笔。查询能力本身就是考核项，不是附加功能。

五、最容易被扣分的 6 个地方

1. 日志只留了 3 个月，或者磁盘满后自动覆盖。
2. 时间不同步，日志时间与监管平台相差几分钟。
3. 只有统计汇总，没有原始记录，无法落到单条连接。
4. 违规站点处置了，但没有指令记录和处置证据。
5. 日志可被管理员随意删除，缺少操作审计。
6. 多机房只汇总主节点，分支节点日志缺失。

六、小结

判定标准从来不是"有没有系统"，而是"能不能在限期内，拿出一条完整、可信、可追溯的原始记录"。把容量算够、把时间校准、把处置留痕，这三件事做完，日志留存这一项就不用担心了。

自研的信安系统在这方面做了针对性设计：访问、过滤、监测、事务四类日志分表留存，支持按 IP 反查、按域名看活跃排名、违规处置全程留痕，多机房可集中汇总管理。