迎检时常见的一类被动局面是：设备一直在跑，但真要调日志时发现——留存时间不够、字段缺了几项、导出的格式对不上，或者时间对不上导致无法与实名信息关联。
日志合规的技术核心是四件事：采得全、存得住、对得上、导得出。下面按这四件事展开。
一、采得全：日志要素核对清单
一次可溯源的上网记录，通常需要包含以下要素：
| 要素 | 说明 | 常见问题 |
|---|---|---|
| 用户标识 | 手机号、证件号、房号加姓名等实名结果 | 只有手机号、无实名关联 |
| 终端标识 | MAC地址 | 终端随机MAC导致不可追溯 |
| 内网地址 | 终端分配到的内网IP | 缺失 |
| 公网地址与端口 | NAT转换后的地址与端口段 | 只记了公网IP，没记端口段 |
| 访问目标 | 目的IP、域名或URL | 只有目的IP，无URL |
| 时间 | 上线时间、下线时间、访问时间 | 时间精度不足或时区错误 |
| 上下线记录 | 会话的开始与结束 | 只有访问日志，无上下线记录 |
高发缺陷是NAT端口段缺失：多个终端共用一个公网地址时，只有IP没有端口段，无法把一条公网访问记录还原到具体终端，溯源链路断在最后一环。
二、存得住：留存期与容量核算
按《网络安全法》相关要求，网络日志留存不少于六个月，工程上通常按 180天 规划。
容量估算方法（可按现场数据替换参数）：
日均日志量 ≈ 日均活跃终端数 × 单终端日均记录条数 × 单条记录大小
所需容量 ≈ 日均日志量 × 180 × 冗余系数举例说明口径：若单条记录按数百字节估算、单终端日均记录量在数千条量级，终端规模上百时，180天的原始日志量通常在数百GB到TB量级——具体数值必须用现场实测数据代入，不能按统一数字套用。
容量侧的常见隐患：
- 只按当前日志量配置磁盘，未考虑业务增长与高峰期波动；
- 日志表自动清理周期短于180天；
- 磁盘写满后覆盖策略未设定，导致老日志被提前清掉；
- 日志与业务数据共用存储，业务扩容时挤占日志空间。
三、对得上：时间同步与关联一致
日志能被采信的前提是时间准确、且各系统时间一致。
- 统一时间源：认证设备、出口设备、日志服务器、交换机与摄像头应指向同一NTP源；
- 时区口径：设备日志常用UTC，展示层按本地时区转换，核对时不要混用；
- 时间偏差检查：定期比对各设备时间，偏差过大时关联查询会错位；
- 终端随机MAC：若按MAC关联，需提示用户关闭随机MAC或改用账号维度关联。
验证方法：取一条刚发生的访问记录，反向查到实名信息与上下线时间，能完整串起来，说明关联链路是通的。
四、导得出：格式与演练
技术整改要落到「能按标准格式导出」：
- 导出字段与相关标准格式要求对齐，包含前述全部要素；
- 导出方式支持按时间范围、账号、终端等维度检索；
- 导出演练：上线后与每次重大变更后各做一次，验证从请求到拿到文件的完整链路；
- 留存归档：导出文件本身也要纳入管理，避免导出后即删。
建议在内部建立一份《迎检材料清单》，包含实名认证记录、日志留存记录、导出样例、设备台账、制度文件，检查时可直接调取。
五、合规自检清单（上线前逐项核对）
采集侧
- 实名信息、终端MAC、内网IP、公网地址与端口段、访问目标、时间要素完整
- 上下线记录与访问记录同时留存
- 可出公网的电视终端、客控设备等已纳入审计范围
存储侧
- 留存周期按不少于六个月（通常按180天）规划并实测验证
- 容量按实测日志量 × 180天估算并留冗余
- 磁盘水位告警与自动清理策略不会误删未满留存期的日志
时间侧
- 所有相关设备指向同一NTP源，时间偏差在可接受范围
- 时区口径统一，展示与导出一致
导出侧
- 可按标准格式导出，字段完整
- 支持按时间、账号、终端、地址等维度检索
- 导出演练已做并留档
管理侧
- 按相关备案要求完成备案与安全保护技术措施落实
- 制度文件与台账归档
- 迎检联系人与流程明确
六、常见缺陷与整改动作
| 缺陷 | 整改动作 | 验证 |
|---|---|---|
| 缺NAT端口段 | 开启NAT日志并记录端口段 | 一条公网记录可还原到具体终端 |
| 留存期不足 | 调整清理策略并扩容 | 可检索到180天前的记录 |
| 时间不一致 | 统一NTP与时区 | 各设备时间偏差收敛 |
| 随机MAC导致无法关联 | 引导关闭或改为账号维度 | 关联查询成功 |
| 导出格式不符 | 按标准格式调整导出模板 | 导出样例通过核对 |
| 电视终端未纳入 | 按可出公网的终端管理 | 电视终端记录可查 |
回退：日志策略与导出模板变更前留档；扩容操作安排在低谷时段，保留原存储直至新存储验证通过。
七、避坑小结
- 只做认证不做日志，合规不闭环，两者是一条链上的两端；
- 端口段是溯源的关键字段，缺了它前面的记录都白记；
- 时间不同步会让关联查询失效，且很难在迎检现场临时修正；
- 容量要按实测算，套用统一数字容易在半年后出问题；
- 演练要常态化，只在迎检前才做首次导出，风险高。
速查表：日志合规整改
| 检查项 | 不达标表现 | 整改方向 |
|---|---|---|
| 字段完整 | 缺端口段、缺URL | 开启完整日志采集 |
| 留存时长 | 调不出半年前记录 | 扩容并调整清理策略 |
| 时间准确 | 关联错位 | 统一NTP与时区 |
| 终端关联 | 随机MAC导致查不到 | 关闭随机MAC或账号维度 |
| 导出能力 | 格式不符、检索不到 | 调整导出模板并演练 |
山西东创伟业科技有限公司（2013年成立）与山西联通、山西电信、山西移动、山西广电渠道直连。地址：太原市小店区长治路139号大唐智能花园12幢1单元7层1号 ｜ 服务热线：400-666-8372 ｜ 官网：https://www.58120.net
