等保2.0三级要求网关日志留存不少于180天并具备防篡改、可追溯、可审计能力，须留存客户端/服务端IP（含X-Forwarded-For）、毫秒级时间戳、HTTP方法、URI、Host、状态码、用户标识、请求/响应大小、耗时及策略命中信息等关键元数据。
等保2.0三级明确要求：网络访问日志（含网关类设备）必须留存不少于180天，并具备防篡改、可追溯、可审计能力。这不是“导出几条日志截图就能过关”的形式要求，而是对日志全生命周期管理的实质性约束——从采集、传输、存储、检索到完整性验证，每一步都需闭环可控。
网关日志到底要留什么？
合规的核心不是“所有原始流量”，而是能支撑事件回溯的关键元数据。网关（如API网关、负载均衡网关、WAF前置网关）需至少留存以下字段：
- 客户端IP与服务端IP（含真实X-Forwarded-For解析结果）
- 请求时间（精确到毫秒，建议使用CST纳秒级时间戳）
- HTTP方法、URI路径、Host头、响应状态码
- 用户标识（如Token ID、Session ID或脱敏后的账号ID）
- 请求大小、响应大小、处理耗时
- 策略命中信息（如WAF规则ID、限流策略名）
注意：若网关本身不解析应用层内容（如未开启Body日志），则无需留存明文请求体；但敏感操作（如登录、支付、数据导出）建议通过旁路日志增强或SDK埋点补充关键上下文。
为什么直接存本地磁盘常被判定不合规？
很多团队将网关日志写入本地/var/log目录，再用logrotate保留180天——这在技术上看似满足周期，但实际测评中高频被否决，原因在于：
- 缺乏防覆盖机制：logrotate默认配置可能因空间不足自动删除旧日志
- 无完整性保护：文件可被root权限直接修改或清空，无法证明“未被篡改”
- 无集中审计入口：日志散落各节点，无法统一检索、关联分析
- 无异地备份证据：单机故障即导致日志丢失，违反等保“防止非授权删除”要求
低成本、高通过率的落地组合
不必采购百万级态势感知平台，中小规模生产环境可用以下三件套达成稳定合规：
- 采集层：启用网关原生日志推送（如Nginx的syslog模块、Kong的http-log插件），直发至日志中心，避免中间落盘
- 传输层：使用TLS+双向证书加密传输，确保日志在途不被嗅探或劫持
- 存储层：接入支持WORM（Write Once Read Many）语义的日志服务（如阿里云SLS、腾讯云CLS或自建Loki+Thanos对象存储），设置180天自动冻结策略，启用SM3哈希校验与Log Block Chain链式签名
该方案已在多家区域医疗云、政务SaaS平台验证，单集群日均千万级日志下，年存储成本控制在2万元以内，且一次通过等保现场测评。
特别提醒两个易漏风险点
一是Pod IP漂移问题：在K8s环境中，网关若以容器IP为日志来源，Pod重启后IP复用会导致日志身份混淆。应强制绑定Service Account Token或使用istio-proxy注入的uid标签替代IP做溯源锚点。
二是敏感字段脱敏义务：等保2.0虽未强制要求日志脱敏，但《网络数据安全管理条例》明确禁止明文留存身份证号、手机号、银行卡号等。建议在日志采集阶段即调用AES-256-GCM或国密SM4 SDK完成字段级加密，而非事后过滤。
