在所有悲伤的言语或笔下的话语中，最悲伤的是：“我们没有伐木”

它不押韵，也不是惠蒂尔所说的，但这是事实。如果事情发生时你没有记录下来，证据就会永远消失。我个人知道很多次决定不启用日志记录，但后来当发生一些如果日志在那里就可以解释、归因或证明的事情时，我感到后悔。好的一面是，有很多相反的情况，值得庆幸的是，在需要时日志就在那里。事实上，在最近的一项调查中，我们碰巧在罪犯发送一封关键电子邮件之前几个小时启用了某种类型的日志记录，这封电子邮件成为该案的确凿证据，这要归功于我们将电子邮件和日志之间的关键识别信息关联起来的能力。

为什么我们不总是在各处启用审计？有时这是简单的疏忽，但更常见的理由是：

• 我们无法用 SIEM 对其进行分析
• 我们没有办法收集它
• 它会让我们的系统陷入困境

让我们依次处理这些问题并说明为什么它们无效。

我们无法使用 SIEM 对其进行分析

由于硬件资源、可扩展性限制或基于批量的许可组织限制了它们启用的日志记录。我们假设您因任何原因确实无法升级 SIEM。这不会阻止您至少启用日志记录。也许它没有被分析用于入侵检测。但至少在您需要时它就在那里（无论如何是最近的活动）。当然，审计日志并不安全，不应该留在生成它们的系统上，但我仍然宁愿打开日志记录，即使它只是被覆盖。很多时候，这足以解释/归因/证明发生的事情。但这里还有其他需要考虑的事情，即使您无法在 SIEM 中“实时”分析它，并不意味着您必须将其留在生成它的系统上 - 随着时间的推移，它很容易被删除或覆盖。至少将日志收集到一个可搜索的中央存档中，例如开源 Elastic。

我们没有办法收集它

那也是行不通的。如果您的服务器管理员或工作站管理员反对安装代理，您不必诉诸基于远程轮询的日志收集。在 Windows 上使用本机 Windows 事件转发，在 Linux 上使用 syslog。这两种技术都是无代理且高效的。 Windows 事件转发具有弹性。您甚至可以定义噪声过滤器，以免垃圾事件堵塞网络和其他资源。

日志记录将使我们的系统陷入困境

这个妖怪仍然活跃。但这并不是基于事实。我从未遇到过正确配置的审核对性能产生重大影响的技术或安装。如今，存储很便宜，您只需要担心最微小的网络管道上的调度和压缩——就像一艘带有卫星 IP 链路的船。 Windows 审核是高度可配置的，如前所述，您可以通过在源头过滤噪音来进一步降低音量。 2008 年推出的 SQL Server 审核更加可配置且高效。如果管理层是认真的，他们将要求在测试中证明这种推回，并且如果您仔细配置审核策略和输出目的地，则测试可能会显示审核的影响可以忽略不计。

归根结底，你不能不记录。即使今天您无法实时收集和分析所有日志，至少在每个系统和应用程序中打开日志记录。并继续努力扩大收集和分析。你不会后悔的。