日志不是越多越好，而是要能回答“谁、何时、访问了什么、结果如何”。本文讲零信任日志的设计要点与常见误区。
出了问题之后，管理者最常问的几句话是：谁访问的？什么时候？访问了什么？为什么放行？ 能不能回答，取决于有没有一套设计良好的日志。
日志不是越多越好
很多系统“日志很多”，但真要排查时却发现：
- 各系统格式不一，时间不统一，无法串起来；
- 记录了“发生了什么”，却没记录“为什么这样判断”；
- 信息太杂，真正重要的线索淹没在海量内容中；
- 日志可被随意修改或删除，事后不可信。
一条好日志，要回答五个问题
- 谁（Who）： 账号、所属组织、使用的设备；
- 何时（When）： 统一、准确的时间；
- 什么（What）： 访问了哪个应用或资源、做了什么操作；
- 结果（Result）： 放行、拒绝还是受限；
- 为什么（Why）： 依据哪条策略、哪些条件作出的判断。
最后一个“为什么”常被忽略，却对事后复盘最有价值。
设计时的四条原则
- 统一口径： 同一件事在不同系统里用同一套字段和时间标准；
- 覆盖全链路： 认证、准入判断、权限变更、访问和操作，都要有记录；
- 保护日志本身： 防篡改、防误删，并明确保存期限与访问权限；
- 服务于使用： 能被检索、统计，能形成报表，也能为后续分析与合规提供依据。
此外，日志中可能含有个人信息或敏感数据，采集范围应遵循“够用即可”的原则。
日志的三类用途
- 排查与复盘： 还原事件经过，找到原因；
- 持续改进： 通过统计发现不合理的权限与策略，不断优化；
- 合规与审计： 提供可追溯的证据，满足管理要求。
统一身份认证准入平台就把“审计合规”作为独立的一层，包括访问日志、操作审计、行为分析、报表统计与合规建设，整体链路的终点是“安全审计”：记录认证与访问过程，支持等保合规建设，审计可追溯。如果希望把日志进一步用于威胁分析，威胁闭环管理的做法是把安全日志、行为记录、分析结果与处置反馈汇聚起来，为威胁研判和后续追踪提供依据，这属于日志在安全运营中的延伸用途。
小结
- 好日志要回答：谁、何时、什么、结果、为什么。
- 设计要统一口径、覆盖全链路、保护日志本身、便于使用。
- 日志既用于复盘，也用于改进与合规。