日志加密存储需分层防护：本地防篡改、磁盘防窃取、传输防监听、归档防抵赖；Windows IIS须挪目录、收权限、开审核；Linux journal启用Seal与KeyedHash；生产环境结合LUKS、TLS双向认证及GPG签名归档；自研服务采用AES-GCM加密并密钥分离管理。

日志加密存储不是“加个密就完事”，而是要分层防护：本地写入时防篡改、磁盘上防物理窃取、传输中防监听、归档后防抵赖。关键不在工具多炫，而在每层都堵住常见漏洞点。

Windows IIS：挪位置 + 收权限 + 开审核

IIS默认把日志全堆在C:\inetpub\logs\LogFiles，系统盘+宽松权限=攻击者删日志零门槛。必须做三件事：

• 新建专用NTFS分区目录（如D:\IISLogs），停用网站后再迁移日志路径（IIS管理器 → 网站 → 高级设置 → 日志文件目录）
• 右键新目录 → 安全 → 高级 → 禁用继承 → 删除所有冗余条目 → 只保留：
    – IIS_IUSRS：勾选“修改”
    – Administrators：勾选“完全控制”
• 启用对象访问审核：组策略（gpedit.msc）→ 计算机配置 → 安全设置 → 高级审计策略 → 对象访问 → 启用“成功/失败”；再对目录右键 → 审核 → 添加SYSTEM和Administrators，勾选“删除”“更改权限”“取得所有者”

Linux systemd-journald：密封 + 密钥绑定 + 验证闭环

journal不是简单记日志，它是带密码学保障的审计凭证。核心是启用Seal（前向安全密封）和KeyedHash：

Gen-2

Gen-2是一款AI视频创作工具，Runway最新推出的AI视频生成模型。

下载

• 编辑/etc/systemd/journald.conf，确认含以下项：
  Storage=persistent
Seal=yes
KeyedHash=yes
MaxFileSec=900（15分钟密封一次，改小可提升篡改检测灵敏度）
• 执行sudo journalctl --setup-keys生成初始密钥，再sudo systemctl restart systemd-journald
• 验证是否生效：journalctl --verify应返回PASS；若某段被删或改，会明确标出FAIL及偏移地址

生产环境加固：LUKS + TLS + GPG签名归档

单点加密不够，得覆盖全链路：

• 本地存储：将/var/log挂载到LUKS加密卷（或至少把Nginx/PostgreSQL等应用日志统一写入LUKS挂载点，如/mnt/encrypted-logs）
• 外发传输：禁用明文514端口；rsyslog或syslog-ng必须用TLS双向认证（tls(peer-verify(yes))），证书由私有CA签发，私钥权限严格设为600
• 归档防抵赖：logrotate的postrotate脚本里调用gpg --detach-sign --armor /path/to/log.1，签名文件同步至异地WORM（Write Once Read Many）存储设备

自研服务（如Golang）：AES-GCM + 密钥分离管理

业务日志不能依赖系统默认行为，得在代码层可控加密：

• 用crypto/aes搭配crypto/cipher实现AES-GCM模式（认证加密，防篡改+保密）
• 密钥绝不硬编码；生产环境走KMS或TPM获取，本地开发可用环境变量+Vault临时注入
• 日志写入前加密，解密只限审计终端且需二次身份校验（如SSH跳板机+OTP）