不少企业部署日志审计服务器，不只是运维人员用来排查故障。等保2.0落地之后，日志留存与分析变成硬性合规要求，三级等保系统，需要采集网络设备、服务器、数据库、应用系统日志，保存时长最低180天。过去日志分散存储在几十台设备，出现安全问题只能逐台登录查看，现在需要集中收集，统一管理。
日志审计服务器的核心工作就是集中采集日志。从网络安全设备、主机、数据库、应用系统获取日志，标准化处理之后集中存储，提供检索、分析、告警能力。简单来讲，相当于整套IT环境的黑匣子，平时感知不到，安全事件发生或是合规检查阶段，作为可靠的取证依据。
核心能力分为几个模块。采集属于基础功能，支持Syslog、SNMP Trap、WMI、ODBC/JDBC协议，适配市面上主流设备。原始日志采集之后不能直接存放，需要解析统一格式，华为LogAuditor内置五千多条解析规则，支持两百多个维度细粒度提取。解析完成的日志可以做关联分析，把防火墙异常连接、服务器多次登录失败事件关联，定位跨设备攻击链路。报表和告警作为输出，审计报表满足等保、SOX这类合规规范，告警支持邮件、短信，也可以对接工单系统推送通知。
部署方案根据企业规模、网络架构选择。轻量化方案采用开源组件搭建，rsyslog采集日志，Filebeat读取审计日志，后端搭配Loki或者OpenSearch存储检索。这套方案成本低，适合预算有限、拥有自研技术团队的企业，但是关联分析、合规报表需要自行编写规则，前期投入工作量大。商业产品里，ManageEngine EventLog Analyzer支持本地部署，基础上线一般48小时完成，内置八百多条关联规则、两百多张预制报表，开箱使用更方便。华为LogAuditor为硬件设备，2U机架式，最多管理1500台设备，峰值处理四万条日志每秒，适合设备数量多、日志流量大的大型企业。
网络部署层面，日志审计普遍采用旁路模式。审计设备接入核心交换机，通过端口镜像或者流量复制获取数据做分析，不会干扰原有业务流量转发。优势是不用改动网络拓扑，部署速度快，业务风险低。数据库审计存在特殊情况，除旁路监听，也支持直连部署，绝大多数场景旁路方案足够。
选型阶段要提前考虑几个实际问题。日志总量决定硬件规格与存储容量。合规要求的留存周期六个月或是一年，直接决定硬盘容量。是否配备专职安全运营人员，决定选用开箱商用产品还是自建开源方案。还有容易忽略的一点，日志审计服务器自身安全，设备存储全网日志，一旦被入侵，整个IT环境的数据都会泄露。访问控制、传输加密、存储完整性校验，部署阶段就要同步配置。