新手配置防火墙日志应坚持“够用不冗余”原则：error记录严重故障，warning用于异常事件（如登录失败、连接拒绝），info仅调试启用，debug完全避免；边界防火墙重点记入站丢弃和高危协议，内网防火墙关注跨区非授权访问，云防火墙启用采样；同时必须配置日志轮转、分离存储路径并验证生效。
新手配置防火墙日志级别，核心是“够用不冗余”——既要捕获关键安全事件，又不能让日志写满磁盘或拖慢系统。重点不在开全量日志，而在精准控制哪些行为必须记、记到什么程度。
明确日志级别的实际含义
日志级别不是越细越好，而是按风险等级分级记录：
- ERROR/SEVERE：只记录严重故障（如规则加载失败、服务崩溃），几乎无IO压力，但无法反映攻击行为
- WARNING：记录异常但未中断的事件（如多次登录失败、策略拒绝连接），平衡性最佳，推荐生产环境默认使用
- INFO：记录常规动作（如某条规则匹配成功），日志量陡增，仅在调试阶段短期启用
- DEBUG/FINEST：逐包记录源IP、端口、协议甚至载荷片段，极易压垮磁盘和CPU，新手应完全避免
按场景分层设置日志输出
不同用途的防火墙，日志重点不同，不能一刀切：
- 边界出口防火墙：聚焦入站拒绝（drop）和高危协议（如RDP、SSH爆破），将“丢弃数据包”设为WARNING，其余流量设为ERROR
- 内网隔离防火墙：关注跨区域访问（如DMZ→Trust），对非授权访问设WARNING，合法业务流可设为ERROR
- 云防火墙：利用平台日志采样功能，对高频低风险流量（如HTTP健康检查）开启采样率（如1%），对异常IP自动升为FULL日志
配套必须做的三件事
光调级别不够，需同步加固日志生命周期管理：
- 强制日志轮转：Windows中将pfirewall.log大小设为8MB以上并启用自动归档；Linux中通过rsyslog配置rotate 7和maxsize 100m，防止单文件撑爆磁盘
- 分离存储路径：不存于系统盘（如C:\或/根分区），改用独立挂载点（如D:\firewalllogs\ 或 /var/log/firewall/），避免日志写满导致系统瘫痪
- 验证是否生效：Windows下用wf.msc → 监视 → 防火墙看“已丢弃的数据包数”是否递增；Linux下执行tail -f /var/log/iptables.log | grep DROP确认有实时输出
