很多公司开了日志，但从来不看。开了不看，和没开相比只多了一堆硬盘占用。真正有用的是盯住 4 类动作。
先说清楚场景
日志的价值不在于「有」，而在于「能回答具体问题」。比如：上周三晚上，是谁把客户表导出了？如果没有日志，这个问题的答案只能是「不知道」。
而回答不了这个问题，意味着两件事都做不到：内部作案查不清，外部入侵说不明。
该看的几项
- 批量导出：谁在什么时候导出了多少条数据。慢慢搬空数据的内部作案，特征就是频次低、单次量大。
- 非工作时段访问：深夜、节假日的登录与查询。不是一定有问题，但是最值得看的样本。
- 异地/异常登录：同一账号短时间内在不同地区登录，或从未出现过的 IP 段。
- 连续口令失败：同一账号或同一 IP 的大量失败尝试，是爆破的前兆。
- 留存：6 个月是常见底线。留存不足，事后所有结论都只能靠猜。
常见的两个误区
- 误区：日志开了就行。没有集中收集、没有告警、没有人看，日志只是摆设。
- 误区：只看登录日志。真正造成损失的往往是「导出」「下载」「权限变更」这类操作。
按这个顺序做
- 先确认三件事：日志有没有开、留多久、能不能按人按时间查。
- 把「批量导出」和「非工作时段访问」设为每周必看的两个动作，形成固定动作比买工具重要。
- 给关键操作加告警：单次导出超过某个条数、短时间内大量下载。
- 留存不足 6 个月的，先扩留存，再谈分析。
什么时候需要工具
访问异常审计是财务盾和数字安全盾共有的流水线，会按「批量导出/深夜访问/异地登录/连续失败」四类特征输出异常账号清单。
可以继续看
以上为通用自查思路，不构成安全认证、等保测评结论或法律意见。具体实施请结合实际系统与业务判断；涉及取证、事故处置时请联系专业机构。