公司服务器突然被黑，技术团队第一反应是什么？不是修漏洞，而是翻日志。谁在什么时候登录过系统，执行了哪些命令，有没有异常IP访问——这些答案都藏在网络日志里。但问题是，很多人平时不看日志，直到出事才手忙脚乱地查，往往为时已晚。
日志不是摆设，得有人看
很多单位装了防火墙、入侵检测系统，日志功能也开着，看起来很安全。可打开后台一看，日志堆了几个月都没人碰过。这就像家里装了监控摄像头，却从不回放录像，出了事才发现硬盘早就满了。
网络日志审计的核心不是“有”，而是“用”。定期审查能发现异常行为的蛛丝马迹。比如某员工账号凌晨三点登录，还批量导出数据；或者某个内部接口突然被频繁调用，这些都可能是数据泄露的前兆。
多久审一次才算“定期”？
没有统一标准，但可以根据系统重要性来定。核心业务系统建议每周至少查一次，普通办公网络可以每两周或每月一次。关键不是频率多高，而是形成固定节奏，像体检一样雷打不动。
某电商公司就吃过亏。他们半年没查日志，结果发现有个测试账号被外部利用，悄悄爬取用户订单近三个月。等发现时，数据早已在暗网流通。事后追查，日志里早有多次异常登录提示，全被忽略了。
审查重点看什么？
不用逐条翻，抓关键字段就行。比如：
- 登录失败次数突增（可能是暴力破解）
- 非工作时间的管理员操作
- 来自非常用地域的访问（如国内服务器收到南美IP请求）
- 敏感指令执行记录（如删除日志、修改权限）
可以用简单脚本做初步筛选，把可疑项拎出来人工复核。比如用grep过滤特定关键词：
grep "Failed password" /var/log/auth.log | grep "Mar 15"这条命令就能快速找出3月15日所有密码错误的SSH登录尝试，几分钟内锁定目标。
别让审查流于形式
有些公司为了应付检查，临时导出一堆日志凑数，根本不看内容。这种“打卡式审计”比不审还危险，给人虚假安全感。真正的审查要有记录、有反馈、有跟进。发现异常，就得查清是误操作还是真威胁，必要时升级响应流程。
日志也不是永久保存的。很多系统默认只保留30天，过了就自动覆盖。重要节点要提前备份，尤其是发生安全事件前后，原始日志就是证据链的关键一环。
网络安全不是靠一套设备一劳永逸，而是靠日常细节堆出来的。定期翻翻日志，不一定能立刻发现问题，但能让你心里有底——哪天真出事了，不至于两眼一抹黑。