系统上线久了会面临一个很实际的问题客户资料被改过、被导走过靠什么还原现场权限体系解决的是谁能动操作审计解决的则是动了什么、能不能查。一套系统如果只有权限没有审计等于门锁得很严但屋里发生了什么完全不知道。这篇把审计要点拆开讲记什么、怎么防篡改、存多久、怎么查、常见坑。一、审计记什么五要素别缺一条合格的审计记录至少要能回答五个问题谁、在什么时候、对哪个对象、做了什么操作、操作前后是什么。落到字段上就是主体。哪个用户或哪个服务账号发起的操作建议带上会话和 IP能追溯到人时间。操作发生的精确时间统一时区存储对象。操作作用于哪条数据用业务主键记录而不是只记改了一条记录这种模糊描述动作。是新增、修改、删除还是导出、导入、授权变更前后值。修改类操作要同时记变更前和变更后的关键字段值删除类操作要保留被删内容的快照。五要素齐全审计才有意义。少记一个前后值出了纠纷就只能知道被改过不知道改成了什么。二、怎么防篡改审计日志自己不能被改审计是证据它本身的安全性和业务数据同等重要防篡改通常分三层做只追加存储。审计表设计成 append-only只允许插入不允许更新和删除。应用层不提供改审计的接口数据库账号也收回 update/delete 权限从机制上堵住入口。哈希链。每条记录把上一条记录的摘要带进自己的摘要形成链式结构。想改中间任何一条后面所有记录的摘要都对不上篡改立刻可被发现。工程实现上可以用摘要字段逐条串也可以按批做看写入量和查证需求权衡。权限分离。审计库的访问权限与业务库分开业务管理员改不了审计记录审计查询账号只读不落业务库。有的做法是把审计落到独立的存储进一步隔离风险。这三个层面不需要一次全上按系统的风险等级从权限分离 只追加起步重要系统再叠加哈希链。三、存多久、怎么查审计日志的存储策略要在查得到和存得起之间取平衡保留周期。按业务需要和合规要求定核心操作授权变更、导出、删除建议长期保留常规操作可以按季度或按年归档。保留策略要在文档里写明不能拍脑袋。冷热分层。近期日志放热存储查询快时间久的归档到冷存储成本低。索引设计。审计查询的常见维度是某个用户在某段时间做了什么某条数据被谁动过所以至少要建用户时间、对象主键时间两组索引。别只按时间建一个索引否则按用户查会全表扫描。导出与核查。审计查询本身也要留痕——谁能查、查了什么同样记一笔防止滥用。四、性能怎么扛别让审计拖垮主流程审计是高频写入一次修改可能产生多条记录不做设计就会拖慢主流程常见做法是异步写入。业务主流程只做必要的同步审计比如授权变更这种关键操作普通操作先落本地缓冲或消息队列后台批量写入审计库主流程不等审计落库。读写分离。审计写入和审计查询走不同的库或不同的连接池查询重的时候不影响写入写入峰值时也不阻塞查询。批量合并。高频浏览类动作按会话聚合控制记录总量。关键原则审计不能成为业务瓶颈宁可异步延迟也不能让正常操作因为写审计卡住。五、常见坑实践中反复踩到的几个坑列出来供对照坑一审计和应用日志混在一起。业务日志会被清理或被调试关掉把审计混进去等于没有审计。审计必须独立不受业务日志开关影响。坑二只记成功不记失败。失败的尝试比如反复试密码、越权访问被拦往往比成功操作更有价值失败日志也要进审计。坑三权限没分开管理员删日志。如果运维账号能直接改审计库那审计的可信度就归零。审计的写权限要收到连管理员都改不了的程度。坑四只存不查。审计建了但没人查、没有定期核查机制等于白建。要有定期的审计抽查谁导出过、谁的授权变了、有没有异常时段的操作。写在后面操作审计是数据安全里容易被忽略的一环也是系统可信的底子权限决定谁能进留痕决定进来做了什么能不能说清。两个都立住数据才管得住。以鲲极这类客户经营系统的实现为例操作审计作为基础设施随系统交付覆盖登录、查看、修改、导出、授权变更等关键动作支持按用户、按数据、按时间段检索保留前后值快照。审计的价值平时看不见出事时才见真章。