公司服务器突然被黑，技术人员查了一圈，发现攻击者早就潜伏了几个月。翻遍所有记录，却没有完整的操作痕迹可查——这种情况并不少见。很多单位以为装了防火墙就高枕无忧，其实真正的风险往往藏在没人看的日志里。
为什么需要日志审计？
你家小区有监控，但没人回看录像，那出事时也等于没用。系统日志就像IT世界的监控录像，记录着每一次登录、每一条命令、每一个文件的改动。没有审计，这些数据就是一堆没人读的废纸。
举个例子，财务系统里一笔钱被转走，事后追查才发现是一个离职员工的账号被复用。如果当时启用了日志审计，就能立刻看到异常登录时间和IP地址，甚至能锁定具体操作行为，而不是等到月底对账才发现问题。
什么样的日志审计系统值得选？
市面上产品不少，挑的时候别光看界面漂不漂亮，重点得看能不能把分散在各个角落的日志收上来。服务器、数据库、防火墙、应用系统，每个都在自己记账，审计系统得像个靠谱的会计，统一归集、自动分类。
比如某医院用了ELK（Elasticsearch + Logstash + Kibana）组合，把全院200多台设备的日志集中分析。有一次发现某个医生工作站频繁访问患者信息，远超正常诊疗需求，通过日志时间线一查，原来是实习生拿账号帮亲戚查病历。这种内部违规，靠人工根本盯不住。
<input type="text" name="log_path" value="/var/log/app/*.log" />上面这个路径配置，就是在告诉系统去收集指定目录下的所有应用日志。看似简单一行，却是整个审计链条的第一步。
小企业也能用得起
很多人觉得日志审计是大公司的玩意儿，其实不然。现在有不少轻量级方案，比如用Rsyslog搭配Graylog，部署成本低，学习曲线也不陡。一家做电商的创业公司，五个人的技术团队，靠这套组合发现了第三方插件偷偷上传用户数据的行为。
关键不是工具多贵，而是有没有形成“记录-分析-告警”的闭环。哪怕每天只花十分钟看看告警摘要，也能避开大多数明摆着的风险。
还有一点容易忽略：日志本身也得防篡改。选系统时留意是否支持WORM（一次写入多次读取）存储或区块链式哈希链校验。否则真出了事，日志被人删了改了，反而说不清责任。