为什么安全日志记录和监控很重要？

Question

为什么安全日志记录和监控很重要？

Accepted Answer

**安全日志记录和监控**能够检测和应对安全威胁与事件。如果缺乏充分的日志记录/监控，攻击就会被忽视——这也是为什么"日志记录和监控不足"被认可为安全风险 (OWASP)。

## 日志记录和监控对安全的重要性

```text
You can't respond to (or even know about) attacks you can't DETECT:
  → without logging/monitoring, breaches go UNNOTICED (often for months) → far more damage
  → "Security Logging and Monitoring Failures" is an OWASP Top 10 risk
→ detection is essential — you can't stop every attack, but you must DETECT and respond.
```

## 应该记录和监控什么

```text
✓ AUTHENTICATION events → logins, failures, lockouts (detect brute force/credential stuffing)
✓ ACCESS to sensitive data/actions → audit trail (who did what, when)
✓ AUTHORIZATION failures → repeated denied access (probing/attacks)
✓ Anomalies → unusual patterns, spikes, suspicious behavior, errors
✓ ADMINISTRATIVE/privileged actions; config changes; security-relevant events
⚠️ but DON'T log sensitive data (passwords, full card numbers, secrets) — that's a risk itself
```

## 检测和应对

```text
✓ ALERTING → notify on suspicious activity (so you can respond quickly)
✓ SIEM tools → aggregate/analyze logs; correlate events; detect threats
✓ Centralized, tamper-resistant logs (attackers try to delete logs); retention
✓ Connect to INCIDENT RESPONSE → detection triggers the response process
✓ Regular review; baseline normal to spot anomalies; threat detection (GuardDuty etc.)
```

## 为什么这很重要

理解安全日志记录和监控的重要性是有价值的高级知识，因为**检测是安全的必需**——你无法对看不到的威胁做出响应——因此对保护系统很重要，并在其自身就被认可为一个安全问题。

基本的洞察是**你无法对检测不到的攻击做出响应，甚至无法意识到它们**，而没有充分的日志记录和监控，**违规事件往往会被忽视（通常长达数月），造成的损害大得多**——这也是"安全日志记录和监控失败"被列为 OWASP 十大风险的原因。

由于你无法防止每一次攻击，检测和响应是必需的，这使得日志记录和监控成为关键的安全能力。

理解**应该记录和监控什么**——身份验证事件（检测暴力破解和凭证填充）、对敏感数据和操作的访问（审计跟踪）、授权失败（检测探测）、异常（不寻常的模式和行为）以及管理/特权操作——涵盖了应该捕获的与安全相关的事件，但需要重要警告是**不要记录敏感数据**（密码、卡号、密钥——本身就是一个风险）。

理解**检测和响应**——**告警**（对可疑活动通知以实现快速响应）、**SIEM 工具**（聚合和关联日志以检测威胁）、保持日志**集中化和防篡改**（因为攻击者试图删除日志）、将检测与**事件响应**相连接，以及为正常行为设定基准以发现异常——反映了监控如何实现实际的威胁检测和响应。

日志记录和监控使违规检测和事件响应成为可能，将隐形的攻击转变为可检测、可应对的事件。

由于检测对安全至关重要（你无法对未检测到的攻击做出响应，未检测到的违规造成的损害更大）且日志记录/监控（捕获安全事件、告警、SIEM、与事件响应相连接）是实现检测的手段，并且日志记录/监控不足是已公认的风险，理解安全日志记录和监控的重要性是有价值的高级知识——对于检测和应对将会发生的攻击至关重要，本身就被认可为一个安全问题，并反映了负责必须检测和应对威胁而不仅仅是试图防止威胁的系统的高级岗位所期望的操作安全意识。