安全日誌管理應包括收集、保存與完整性控制嗎？實務流程與檢查重點

管理重點概覽

按風險及調查需要識別身份驗證、權限變更、系統、應用程式、防火牆、端點、雲端、資料庫及重要管理操作。每個來源需記錄負責人、格式、嚴重程度、預期事件量與失聯處理。

集中收集可減低本機日誌遭刪除或設備故障造成的損失。各系統應使用受管理的可靠時間來源，並監察時間偏差；否則跨系統重組事件時序會出現錯誤。RFC 5424 定義 syslog 訊息的結構化格式，但傳輸安全仍須配合適當機制。

保留期應依法律、合約、調查與營運需要制定，區分可即時搜尋與封存層。限制讀取、匯出、修改與刪除權限，記錄管理操作；採用唯讀或防竄改儲存、雜湊或簽署及受控備份，以支援完整性驗證。

定期抽查事件是否完整到達、欄位能否解析、時間是否準確、容量是否足夠，並測試搜尋、匯出與復原。為來源中斷、突增、解析失敗及儲存將滿設告警，避免只有事故後才發現日誌不可用。

按風險及調查需要識別身份驗證、權限變更、系統、應用程式、防火牆、端點、雲端、資料庫及重要管理操作。每個來源需記錄負責人、格式、嚴重程度、預期事件量與失聯處理。

集中收集可減低本機日誌遭刪除或設備故障造成的損失。各系統應使用受管理的可靠時間來源，並監察時間偏差；否則跨系統重組事件時序會出現錯誤。RFC 5424 定義 syslog 訊息的結構化格式，但傳輸安全仍須配合適當機制。

保留期應依法律、合約、調查與營運需要制定，區分可即時搜尋與封存層。限制讀取、匯出、修改與刪除權限，記錄管理操作；採用唯讀或防竄改儲存、雜湊或簽署及受控備份，以支援完整性驗證。

定期抽查事件是否完整到達、欄位能否解析、時間是否準確、容量是否足夠，並測試搜尋、匯出與復原。為來源中斷、突增、解析失敗及儲存將滿設告警，避免只有事故後才發現日誌不可用。

本文核對資料：NIST SP 800-92；RFC 5424。

實際控制範圍與覆核頻率應按資產風險、法規、合約及企業環境決定，不應把任何單一清單視為通用合規結論。

安全日誌是否一定要集中收集？

高風險及重要系統宜集中收集，以利關聯、監察及防止本機損毀；具體範圍應按風險與合規要求決定。

日誌應保存多久？

沒有統一答案。應結合法規、合約、事件發現時間、調查需要、成本及資料最小化政策制定分級保留期。

時間同步為何重要？

一致時間戳讓調查人員按次序拼合不同來源事件；顯著偏差會造成錯誤關聯及證據解讀困難。

如何保護日誌完整性？

可採最小權限、管理操作審計、防竄改或唯讀儲存、雜湊或簽署、備份及定期驗證。

收集敏感資料要注意甚麼？

避免不必要記錄密碼、權杖及個人資料，限制存取與匯出，並按保留政策安全銷毀。

HKEZIT 可協助企業規劃網絡、系統與保安控制，按現場環境及實際需求提供建議與報價。