应配置多维日志轮转策略（大小、时间、保留份数），使用logrotate等工具加固权限与写保护，实施异地归档与只读备份，并审计日志管理操作，定期演练验证有效性。
配置日志文件轮转策略并保障审计数据不被意外删除，核心在于合理设置轮转周期、保留数量、权限控制与写保护机制，同时避免因磁盘满或误操作导致关键审计日志丢失。
明确轮转参数：大小、时间与保留份数
轮转不能只靠“定期清理”，而应结合日志增长特征设定多维阈值：
- 按大小轮转：例如单个审计日志不超过100MB，防止单文件过大影响分析和传输；
-
按时间轮转：每天/每小时生成新文件（如
audit.log.2024-04-05），便于按日期归档与检索； - 严格限制保留份数：比如最多保留90个历史文件（含当前），超出自动删除最旧的——但需确保该数值满足合规要求（如等保2.0要求审计记录保存不少于180天）。
使用可靠轮转工具并禁用非授权写入
优先选用成熟工具（如 logrotate、rsyslog 内置轮转、或 auditd 自带的 `max_log_file_action = keep_logs`），并做以下加固：
- 配置
create 600 root root（logrotate）或等效权限，确保轮转后新日志仅属主可读写； - 对审计日志目录（如
/var/log/audit/）设置chattr +a（仅追加）或+i（不可修改，需 root 才能解除），防止 rm/mv/cp 覆盖； - 禁止普通用户、应用进程直接写入审计日志路径，审计日志应由专用服务（如 auditd）统一管理。
启用异地归档与只读备份机制
本地轮转只是第一道防线，防删关键在“分离存储”：
- 每日凌晨将上一日压缩日志（如
audit.log.2024-04-05.gz）同步至只读 NFS 或对象存储（如 S3，开启版本控制与MFA删除）； - 归档脚本执行后，对本地已归档文件运行
chattr +i，或移入/var/log/audit/archive/并设为chmod 500+ 父目录chown root:root； - 定期校验归档完整性（如用 sha256sum 记录哈希值），并在监控系统中告警“归档失败”或“本地文件异常缺失”。
审计自身行为：监控日志管理操作
谁删了日志？谁改了轮转配置？这些动作本身必须被记录：
- 启用 auditd 规则监控关键路径：
-w /var/log/audit/ -p wa -k audit_log_access； - 记录所有
rm、truncate、chattr、logrotate执行行为，并将 auditd 日志单独输出到另一台安全服务器； - 禁止在审计服务器上直接安装非必要工具（如 vim、nano），减少人为误操作面；运维须通过跳板机+会话审计方式操作。
不复杂但容易忽略：轮转策略有效性的前提是日志服务本身稳定运行、磁盘有足够预留空间、且权限模型真正隔离。建议每季度执行一次“模拟删档演练”——手动触发超限轮转、检查最老文件是否如期保留、验证归档链路是否完整、确认审计规则能否捕获删除动作。
