INSIGHTS
文章中心
奇摩计算机的技术洞察、最佳实践与公司动态：数据中心运维、可观测性、数据备份、微隔离与信创实践的一线经验分享。
INSIGHTS
奇摩计算机的技术洞察、最佳实践与公司动态：数据中心运维、可观测性、数据备份、微隔离与信创实践的一线经验分享。
日志分析 · 清除筛选
最佳实践
测评与审计要的从来不是一份报告，而是三类：谁做了什么、设备本身有没有异常、内部人员有没有越界。三份材料的数据链条各不相同，交不出来往往不是汇总慢，而是采集侧一开始就没留。
技术洞察
日志平台买回来，两套引擎跑着：一套认已知攻击，一套找异常行为。它们该由同一班人管还是两班人管？本文给分工的三个判断、告警重复怎么处置、以及只有一个人值班时的先后顺序。
技术洞察
告警自动处置不是一个开关，是四档能力：只记录、只开单、可逆动作、不可逆动作。四档的授权方式、回退窗口与误判代价完全不同，混在一起谈就会出现「一开就出事、一关就回到人工」。
技术洞察
行为分析的误报，多数不是模型不准，而是建模的前提不成立：新人没有历史、小部门没有群体、月末备份被当成批量外发。四种常用建模方法各有适用条件，前提缺一个，基线越精误报越多。
技术洞察
日志平台的采集范围通常从服务器与网络设备开始，但门禁、打卡、邮件、堡垒机这几类记录往往才是内部风险的关键证据。收不收的关键不在能不能收，而在收进来之后能不能回答具体问题。
技术洞察
日志平台的交付流程有六步，其中两步最容易被压缩：场景调优与验收交付。基线要吃够历史数据才准，告警降噪要压到可处理的量级，误报优化要跑过一轮。把验收点放在调优之后，比放在部署完成那天有用。
技术洞察
高权限账号被多人共用、门禁卡代刷、离线设备长期不联网、非工作时段登录运维——这些行为单看一次都不算事件，攒起来才有形状。可行的做法是把它们做成一份月度报表，固定口径、固定责任人、固定几个看得懂的指标。
技术洞察
日志平台的出口常被忽略：数据收进来了，结果却留在平台里没人用。可行的做法是把出口分成四类——工单、资产台账、堡垒类通道与办公协同，按「谁要用、用来做什么」逐个对接，再配好权限与调用审计。
技术洞察
行为分析里最容易出错的一步，是拿全公司一条线去衡量所有人。研发批量下载代码、财务月末集中导出、运维凌晨登录，放在同一条基线上全是异常。可行的顺序是先定参照系——按岗位划群体，再判断个体偏离；群体太小或群体本身被污染时，另有处理办法。
技术洞察
业界通用的攻击技战术框架又升一版：新增 15 项检测策略（企业侧 6 项、工控侧 9 项），由 38 条分析规则支撑。对已建过覆盖表的企业，要做的不是重盘，而是那张表怎么跟着改：先做版本映射，新条目标成未知而非未覆盖，再给老规则退役动作。
技术洞察
上游业务系统升级、字段改名、时区调整，日志平台侧的解析规则通常不会跟着改。日志还在来，只是内容变了——报表上的错误率可能因此归零，而不是真的没问题。发现这类失真靠三个可观测信号，加一份变更联动清单。
最佳实践
割接那几个小时，告警一直响，多数团队会顺手关掉。关与不关不是关键，关键是静默的范围、时长、解除方式，以及静默期产生的告警最后去了哪里。四个漏点没堵，省下来的时间会在事后还回去。
最佳实践
日志平台的建设常按技术与容量推进，合规项却留到验收前才补。分类分级、自身留痕、出境判断、离场处置这四项一旦在上线后才定，往往要返工。本文列出上线前该定的五件事。
技术洞察
等保与网络安全法要求日志集中留存不少于六个月，但「留得下」不等于「查得动」。容量怎么估、冷热怎么分层、谁能批准删除、离场时怎么交——四件事定了，这条合规线才落得住。
技术洞察
境外一家公立医疗机构公布的调查结果显示，三名遇害者的病历在事发后被院内员工大量查阅，15 人被解聘、17 人收到书面警告，而这件事是被家属追问后才查出来的。访问日志人人都有，为什么发现不了越权访问，缺的是另外三样东西。
最佳实践
日志平台的查询能力落到组织里会被三类人用到：平台组写模板、值班的人改参数、业务方只看报表。把培训目标定成人人会写查询，通常两头都不落地。分层之后，口径统一了，性能也可控了。
技术洞察
日志检索、安全事件分析、内部行为分析、可观测运维、数据治理——这五类能力在企业里常被拆成五套系统来买。拆开之后省下的是采购价，付出的是数据打通、口径统一和人的成本。本文讲清什么情况下该合、什么情况下拆更划算。
技术洞察
用日志和用户行为分析来发现内部风险，前提是这些数据本身要站得住：采集范围只覆盖与业务系统的交互、员工知道被监测什么、查看权限按用途分级、留存到期有处置。这几条不定下来，一旦发生争议，平台越强反而越难解释。本文给出四道可以直接落地的边界。
技术洞察
分支机构一多，日志的存放位置就成了必须先定的事：全部上收到中心，还是一部分留在本地。这个决定受四件事约束——链路条件、留存时限、断网时的可用性，以及监管对数据存放地点的要求。它属于架构决策，事后很难只靠调配置补回来。
技术洞察
一次故障跨了网络、主机、数据库、中间件和业务系统，五个团队各自盯着监控，屏幕上都是绿的，只有用户那边是红的。被拖住的往往不是修复速度，而是该谁先看。把一次请求在各系统的路径还原成一条可查的链路，才能对着同一份数据说话。
技术洞察
做行为分析时容易默认日志记录的是人的操作，但日志里大量动作来自程序：接口调用、定时任务、脚本下发、设备心跳。把人和机器混在同一条基线里，两边都会失真。分开建基线，是让异常能被看出来的前提。
技术洞察
某日志与安全分析平台十月披露的高危漏洞，位置不在主程序，而在一个默认启用的内置组件上。这件事的意义不在于漏洞本身，而在于提醒企业：平台里跑着的东西，未必等于当初装的那部分，组件与默认配置同样要进资产清单。
成功案例
日均通行 4.2 万人次的深圳科技园区，把门禁从人脸识别与实体卡双轨切换到手机二维码。通行侧由塞伯罗斯负责硬件、协议与云平台；通行数据产生之后怎么存、留多久、谁能看、出事能不能追，由 IT 底座服务商接住。本文拆开这两层各自要守住的边界。
技术洞察
境外媒体报道一起人口登记系统的数据泄露事件，涉及约 880 万人。入口不是被攻破的系统，而是合作机构本身持有的合法访问权限，特征是大规模的自动化查询。这类行为在系统看来完全合规，只能靠「和平常不一样」来发现。
最佳实践
日志平台最容易失控的地方不在采集技术，而在接入决策：什么系统该接、接哪些字段、留多久、谁负责。建议把接入做成一道准入评估，四个问题都答得上来才建采集任务，避免平台越接越胖、越胖越没人看。
最佳实践
告警发了却没人处理，问题常常不在规则，而在通道：所有级别都往同一个群里发，结果谁都不觉得是自己的事。可行做法是按「要不要叫醒人」把通道分成两层，级别与通道一一对应，再补上恢复通知与通道自身的可达性检查。
技术洞察
把日志接进来、字段治理好，只完成了前半段。决定这份数据能不能被反复使用的，是出口这三件事：消费方清单、出口方式与字段口径的版本管理。出口没定清楚，同一个指标在不同报表里就会算出不同的数。
技术洞察
日志平台上线后，出问题最多的地方往往不是检索与分析，而是更前面的采集层：哪些源没接上、代理掉线多久能发现、网络中断期间的日志会不会丢。可行的做法是把采集按接入方式分类登记，为每类定覆盖率口径与自身的监控项，再定期做一次补采验证。
最佳实践
日志里混着账号、手机号、证件号、客户标识与业务明细，而多数检索需求只用到其中一小部分。可行做法是先把日志按敏感度分层，再按角色给可见范围，个人信息类字段在采集侧完成脱敏，原始数据的调阅单独授权、全程留痕。
技术洞察
多国金融机构近期连续发生客户信息泄露，攻击对象集中在员工使用的辅助系统，事后还出现含客户信息的日志文件被导出。这类事件里最容易被忽略的是：如果业务系统本身没有身份核验，日志就只能记下时间和地址，记不下「谁」。
技术洞察
一个免费邮箱账号就能伪造任意同域发件人，伪造邮件还能通过 SPF、DKIM、DMARC 三重校验——问题出在服务商出站链路的解析不一致。企业侧可把邮件日志接进统一平台，复核可见发件人与回退地址的差异，并对索要凭据类邮件保留人工确认。
技术洞察
日志平台选型时，大家习惯看功能清单，真正决定三年后体感的却是底座引擎。百 TB 级日志一上来，通用开源引擎常见的表现是查询变慢、硬件成本抬升，并且缺少原生的行为分析能力。要不要换国产自研引擎，可以用四个数来判断。
技术洞察
近期有应用交付与远程接入类边界设备被高危漏洞在野利用。设备被攻陷后，难的不是打补丁，而是判断有没有被利用过——答案往往只在设备自己的日志里，而这类日志恰恰是很多企业没有接全的一类。
技术洞察
网络日志留存不是建议而是法定义务。近期网信部门通报的执法案例中，未按规定留存相关网络日志与端口暴露、弱口令并列成为处罚事由。本文从公开通报出发，讲清日志留存常见的三个缺口，以及接全、规范化、可取证三件事怎么落地。
最佳实践
告警发出来却停在收件箱，是日志平台最常见的最后一公里问题。本文讲清剧本编排怎么把检测、研判、处置、复盘闭起来：先挑可自动化的场景，再编排动作与审批边界，最后用复盘数据持续收敛误报。
最佳实践
日志平台卡住落地的往往不是引擎性能，而是日志接不进来、接进来又对不上。这里拆解统一接入的两层做法：采集侧用 Agent 采集、网络推送与专用插件覆盖全部资产；治理侧靠解析、清洗脱敏、分级路由与资产补全，把原始日志变成可用字段。
技术洞察
攻击者窃取凭证后常用Pass-the-Hash在内网横向移动。日志分析平台通过解析Windows登录与Kerberos事件，识别异常源IP、陌生终端多主机登录等账号失陷信号。
技术洞察
内部人员离职前批量拷贝核心资料，是数据泄露的高发场景。UEBA通过行为基线识别简历外发、高频下载、网盘与邮件外传等异常，帮助企业提前干预，守住数据资产。
成功案例
某摩托车制造集团把日志管理从逐台登录翻查变成全网集中洞察。深圳市奇摩计算机有限公司交付的日志分析平台支撑每日 40GB 日志接入，覆盖 84 台服务器，内置 18 项合规审计报表与 50 项监控告警，三个月完成交付验收。
技术洞察
日志从“存下来”到“查得快、分析准”，是企业安全运营的分水岭。本文梳理日志中心智能化升级的三大能力——统一采集、实时检索、智能分析，并结合等保审计场景给出落地路径与成效。
© 2026 深圳市奇摩计算机有限公司