如何设置系统全局日志保留周期防止取证信息被覆盖

防止关键取证信息被覆盖，需禁用日志自动覆盖、强制归档并外存、满足180天合规留存，Windows启用AutoBackupLogFiles注册表项及事件查看器手动清除触发归档，Linux强化logrotate周期与maxage、rsyslog远程同步、chattr+chmod权限锁定，并通过哈希校验、审计日志、WORM存储确保完整性可验证。

要防止关键取证信息被覆盖，核心是让日志不被自动循环删除，同时确保保留时间满足合规底线（如等保2.0要求≥180天），并具备可验证的完整性。这不能只靠“调大日志文件大小”或“选不覆盖”，必须结合归档机制、外部存储和策略固化。

Windows：启用自动归档 + 禁用覆盖 + 外部转移

仅在事件查看器里勾选“不覆盖事件”会导致日志写满后新事件丢失，无法用于实时取证。正确做法是启用系统级自动归档：

• 以管理员身份打开注册表编辑器，定位到：
  HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesEventLogSecurity
• 新建 DWORD 值 AutoBackupLogFiles，设为 1
• 在事件查看器中，右键“安全”日志 → “属性” → 勾选“不覆盖事件（手动清除日志）”
• 点击“清除日志”→ 选择“是”，立即生成首个归档文件（如 Archive-Security-2026-06-16-19-40-12-345.evtx）
• 此后当日志达到设定大小（建议 500 MB 起），系统自动归档并新建空白日志，并记录事件 ID 524
• 归档文件默认存于 %SystemRoot%System32config，需用 PowerShell 脚本定期移出至网络共享或NAS，并按180天自动清理旧文件

Linux：强化 logrotate + 远程同步 + 权限锁定

默认 logrotate 配置（如 rotate 4）仅保留约1个月，远不满足取证要求。必须显式定义周期与数量，并阻断本地篡改可能：

• 编辑 /etc/logrotate.conf，将全局策略改为：
  daily
  rotate 26（保留26天）→ 若需6个月，改用 monthly + rotate 6
• 对关键日志（如 /var/log/secure、/var/log/auth.log）单独配置，在 /etc/logrotate.d/ 下建文件，加入：
  dateext（带日期后缀）
  maxage 180（自动删除超180天文件）
  compress + delaycompress（压缩但不压缩最新轮转）
• 配置 rsyslog 将日志实时转发至远程日志服务器（如使用 *.* @192.168.10.100:514），确保即使本机被攻陷，原始日志仍存在异地
• 对本地日志目录执行 chattr +a /var/log（仅允许追加），再用 chmod 640 /var/log/*.log 限制读写权限

通用加固项：让归档本身可审计、不可抵赖

单纯保存文件不够，取证时需证明日志未被删改、时间线连续：

• 所有归档操作（Windows 归档触发、logrotate 执行）必须写入独立审计日志，并开启其自身审计（如 Linux 的 auditd 监控 /etc/logrotate.d/ 修改）
• 对归档后的 .evtx 或 .gz 文件，用 sha256sum 或 Windows CertUtil -hashfile 生成哈希值，存入只读位置（如 WORM 存储或区块链存证服务）
• 禁用普通用户对事件查看器或 journalctl 的导出权限；Windows 中通过组策略禁用“导出列表”右键菜单，Linux 中限制 systemctl status 和 journalctl --since 的访问范围
• 每季度运行一次校验脚本，比对归档文件数量、时间跨度、哈希一致性，并邮件告警异常