Day-279-日志合规要求

# Day 300: 日志合规要求 - 等保/GDPR/PCI-DSS 日志规范

> 安全运维系列第 10 天 | 预计阅读时间：25 分钟 | 难度：★★★☆☆

---

## 清单 目录

1. [日志合规概述](#日志合规概述)
2. [等保 2.0 要求](#等保 20-要求)
3. [GDPR 要求](#gdpr-要求)
4. [PCI-DSS 要求](#pci-dss-要求)
5. [其他合规要求](#其他合规要求)
6. [合规实施](#合规实施)
7. [审计准备](#审计准备)
8. [总结与思考](#总结与思考)
9. [参考资料](#参考资料)

---

## 日志合规概述

### 合规驱动因素

**法律法规**：
- 网络安全法
- 数据安全法
- 个人信息保护法
- 行业监管规定

**行业标准**：
- 等保 2.0
- PCI-DSS
- ISO 27001
- HIPAA

**业务需求**：
- 客户合同要求
- 合作伙伴审计
- 保险要求

### 合规日志要素

**必需日志类型**：
- 身份认证日志
- 访问控制日志
- 系统变更日志
- 安全事件日志
- 网络流量日志

**日志属性要求**：
- 完整性：防篡改
- 可用性：可查询
- 保密性：适当保护
- 可追溯性：时间同步

---

## 等保 2.0 要求

### 基本要求

**第二级要求**：
```
a) 应启用安全审计功能，审计覆盖到每个用户；
b) 应对审计记录进行保护，避免受到未预期的删除、修改或覆盖；
c) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功等；
d) 审计记录留存时间不少于 6 个月。
```

**第三级要求**：
```
在二级基础上增加：
a) 应对重要用户行为和重要安全事件进行审计；
b) 应对审计记录进行备份；
c) 应根据记录进行分析，生成审计报表；
d) 应对审计进程进行保护，避免未授权终止。
```

**第四级要求**：
```
在三级基础上增加：
a) 应对远程管理操作进行审计；
b) 应对特权用户行为进行审计；
c) 应能对审计记录进行关联分析。
```

### 日志内容要求

**认证日志**：
- 登录成功/失败
- 登出
- 密码修改
- 账户锁定/解锁

**访问日志**：
- 文件访问
- 数据库查询
- API 调用
- 管理操作

**变更日志**：
- 配置变更
- 账户变更
- 权限变更
- 系统变更

### 技术要求

**时间同步**：
```
- 部署 NTP 服务器
- 所有系统时间偏差 < 1 秒
- 时间源可追溯
```

**完整性保护**：
```
- 日志写入后立即保护
- 使用 WORM 存储
- 或实时传输到独立日志服务器
- 或使用数字签名
```

**存储要求**：
```
- 留存时间：≥ 6 个月
- 网络日志：≥ 6 个月
- 重要日志：建议 1-3 年
- 备份：定期备份，异地保存
```

---

## GDPR 要求

### 适用场景

**个人数据处理**：
- 欧盟公民个人数据
- 数据处理活动日志
- 数据访问日志
- 数据修改/删除日志

### 日志要求

**处理活动记录 (ROPA)**：
```
根据 Article 30，需要记录：
- 处理目的
- 数据类别
- 接收者类别
- 保留期限
- 安全措施
```

**数据主体权利日志**：
```
记录数据主体行使权利的活动：
- 访问请求
- 更正请求
- 删除请求 (被遗忘权)
- 限制处理请求
- 数据可携权请求
- 反对权请求
```

**数据泄露日志**：
```
根据 Article 33，需要记录：
- 泄露事实
- 影响范围
- 受影响数据
- 受影响人数
- 通知情况
- 处置措施
```

### 日志最小化

**原则**：
- 仅记录必要的个人数据
- 匿名化或假名化
- 设定明确的保留期限
- 到期删除或匿名化

**实施建议**：
```
- 日志中的个人数据字段加密
- 使用用户 ID 而非姓名
- IP 地址部分掩码 (如 192.168.1.xxx)
- 定期审查日志中的个人数据
```

---

## PCI-DSS 要求

### 适用范围

**适用对象**：
- 处理信用卡数据的组织
- 存储、处理、传输持卡人数据

### 日志要求 (Requirement 10)

**10.1 审计跟踪**：
```
必须记录：
a) 用户标识
b) 事件类型
c) 日期和时间
d) 事件成功或失败
e) 事件起源
f) 受影响的资源
```

**10.2 自动化审计跟踪**：
```
必须自动记录：
a) 所有用户访问持卡人数据
b) 所有特权用户操作
c) 审计日志访问
d) 无效访问尝试
e) 审计日志修改/删除
f) 身份验证机制变更
g) 权限变更
h) 审计功能启停
```

**10.3 日志内容**：
```
每条日志必须包含：
- 用户 ID
- 事件类型
- 日期时间 (UTC)
- 成功/失败标识
- 事件来源
- 受影响的数据或系统
```

**10.5 日志保护**：
```
- 限制访问权限
- 日志文件权限 600 或更严格
- 日志服务器独立
- 使用 FIM 监控日志文件
```

**10.7 保留期限**：
```
- 至少保留 1 年
- 至少 3 个月在线可用
- 备份保护
```

### 合规检查

**日志审查要求**：
```
10.6 日志审查：
a) 每日审查安全事件日志
b) 每日审查异常活动
c) 及时跟进异常
```

**时间同步要求**：
```
10.4 时间同步：
- 关键系统使用 NTP
- 时间偏差控制
- 时区设置一致
```

---

## 其他合规要求

### ISO 27001

**A.12.4 日志记录**：
```
- 记录用户活动
- 记录异常事件
- 记录安全事件
- 保护日志完整性
- 定期审查日志
```

### HIPAA

**审计控制 (164.312(b))**：
```
- 记录 PHI 访问
- 记录系统活动
- 保留 6 年
- 定期审查
```

### SOX

**IT 控制要求**：
```
- 财务系统访问日志
- 变更管理日志
- 权限变更日志
- 保留 7 年
```

### 网络安全法

**第二十一条**：
```
- 监测记录网络运行状态
- 留存相关网络日志
- 留存时间不少于 6 个月
```

---

## 合规实施

### 差距分析

**评估清单**：
```
□ 是否启用了所有必需系统的日志？
□ 日志内容是否满足要求？
□ 日志保留期限是否达标？
□ 日志是否受到保护？
□ 是否有日志审查流程？
□ 是否有时间同步机制？
□ 是否有日志备份？
```

### 实施步骤

**步骤 1：识别要求**
```
- 确定适用的合规标准
- 列出具体日志要求
- 识别差距
```

**步骤 2：技术方案**
```
- 部署日志采集
- 配置日志格式
- 设置保留策略
- 实施完整性保护
```

**步骤 3：流程建立**
```
- 制定日志管理制度
- 建立审查流程
- 定义响应流程
```

**步骤 4：持续监控**
```
- 监控日志完整性
- 监控保留期限
- 定期合规检查
```

### 技术控制

**完整性保护**：
```bash
# Linux 日志保护
chown root:adm /var/log
chmod 640 /var/log/*.log

# 设置不可变标志
chattr +a /var/log/secure

# 实时传输到日志服务器
rsyslog 配置远程转发
```

**访问控制**：
```bash
# 日志目录权限
ls -la /var/log/
drwxr-x--- 2 root adm 4096 Apr 12 00:00 log/
-rw-r----- 1 root adm 1000 Apr 12 00:00 secure
```

---

## 审计准备

### 审计证据

**文档准备**：
- 日志管理制度
- 日志配置文档
- 日志审查记录
- 事件响应记录

**技术证据**：
- 日志系统截图
- 日志样本
- 保留策略配置
- 备份记录

### 常见审计问题

**等保审计**：
```
Q: 日志留存时间是否满足 6 个月？
A: 提供日志系统配置和存储容量证明

Q: 日志是否防篡改？
A: 展示权限配置和 WORM 存储配置

Q: 时间是否同步？
A: 展示 NTP 配置和时间偏差监控
```

**PCI-DSS 审计**：
```
Q: 是否记录所有持卡人数据访问？
A: 提供数据库审计日志配置

Q: 日志审查是否每日进行？
A: 提供审查记录和工单

Q: 日志保留是否满足 1 年？
A: 提供归档策略和存储证明
```

---

## 总结与思考

### 核心要点回顾

1. **等保 2.0**：6 个月留存，完整性保护，时间同步
2. **GDPR**：个人数据最小化，处理活动记录
3. **PCI-DSS**：10 大日志要求，1 年保留，每日审查
4. **其他标准**：ISO 27001、HIPAA、SOX 各有要求
5. **合规实施**：差距分析、技术方案、流程建立
6. **审计准备**：文档、证据、常见问题

### 深入思考

**合规的本质**
- 合规是底线，不是目标
- 合规驱动安全建设
- 持续合规比一次性通过更重要

**最佳实践**
- 建立统一的日志合规框架
- 自动化合规检查
- 定期内部审计
- 与监管机构保持沟通

---

## 参考资料

### 学习资源

- **等保 2.0 标准**: GB/T 22239-2019
- **PCI-DSS v4.0**: https://www.pcisecuritystandards.org
- **GDPR 全文**: https://gdpr.eu

### 工具资源

- **合规检查工具**: 各厂商合规扫描工具
- **日志审计工具**: SIEM 内置合规模板

---

*Day 300 完成 | 日志合规要求详解 | 字数：约 10,000 字*