公司内网突然出现异常登录记录，IT人员调取日志时却发现数据只保留了三天。这种场景在中小型企业中并不少见。网络日志审计存储时间的设定，直接关系到问题追溯、安全排查和合规要求。
为什么存储时间不能太短
很多单位为了节省存储空间，把日志保留周期设得很短。有的路由器默认只存48小时，交换机可能一周就覆盖旧数据。一旦发生内部数据泄露或外部攻击，关键时间段的日志已经没了，调查就成了无头案。
比如财务部门发现有人用离职员工账号转账，如果日志只存五天，而异常操作发生在十天前，那就查不到源头。这种情况在实际工作中屡见不鲜。
法规对存储时长的基本要求
根据《网络安全法》第二十一条规定，采取监测、记录网络运行状态、网络安全事件的技术措施，应留存相关的网络日志不少于六个月。这意味着六个月是合规底线，不是建议值。
金融、医疗、教育等行业还有更严的要求。银行系统通常需要保存一年以上，部分机构甚至要求三年。这些行业内部审计频繁，日志就是证据链的一环。
不同设备的日志策略差异
防火墙一般支持远程日志服务器，可以集中存储较长时间。而普通办公交换机本地存储有限，最好配合Syslog服务器使用。无线AP的日志容易被忽略，但员工连接记录也是审计重点。
服务器操作系统如Windows Event Log、Linux的journalctl，默认配置往往不够用。需要手动调整归档策略，避免日志自动清理。
如何合理规划存储容量
一台千人规模企业的核心交换机，每天产生的日志量大约在500MB左右。按六个月计算，需要约90GB空间。加上冗余和压缩，120GB的专用存储足够支撑。
使用日志管理系统（如ELK、Graylog）能有效压缩数据并支持快速检索。开启Gzip压缩后，实际占用空间可减少60%以上。
配置示例：Linux系统日志保留半年
以CentOS为例，修改/etc/logrotate.d/syslog配置文件：
<code>/var/log/messages {
monthly
rotate 6
compress
delaycompress
missingok
notifempty
}</code>这个配置表示messages日志按月轮转，最多保留6个历史文件，配合monthly触发机制，正好覆盖半年周期。
避免常见误区
有些人认为只要开了日志功能就万事大吉，其实还需要定期检查存储是否写满、归档是否成功。曾有公司日志路径指向一个已满的U盘，后续记录全部失败，却没人察觉。
还有一种情况是多台设备时间不同步。日志里的时间戳差了几小时，关联分析时完全对不上。NTP时间同步必须提前配置好，不然再长的存储也没意义。
实际运维中，建议每月做一次日志可用性测试。模拟一个异常事件，看能否从系统中准确查到对应记录。这比单纯看存储天数更可靠。