安全日志完整性验证工作流

目标

安全日志应完整、时间一致且可防篡改，调查才能信赖。本工作流检查预期来源是否都在上报且缺口有解释，确认日志为一次写入或带哈希链从而使改动可被察觉，核对各来源时钟同步与偏移在容差内，并用受控操作验证从来源到中心的链路可用。

步骤要点

1. 检查预期来源是否都在上报、缺口是否有解释。
2. 确认日志防篡改（一次写入或哈希链）。
3. 核对时钟同步与偏移在容差内。
4. 用受控操作验证来源到中心的链路。

# confirm a controlled action reaches the central store
query-central-logs --filter 'action=test_probe' --since 5m

验证

按顺序执行上述步骤后，逐项确认每个步骤的预期状态均已满足；只有全部预期状态成立，才认为本流程完成。若某一步未达到预期状态，应先按排错提示排查，不要跳过继续，以免掩盖问题。

排错提示

• 未被发现的日志缺口会掩盖恶意活动。
• 可变更日志会丧失证据价值。
• 时钟偏移会破坏关联。

适用边界

• 需要集中日志存储与时钟同步。
• 优先不可变存储，其次哈希链。