CIS关键安全控制 第8.1版 8.1

尽可能集中企业资产的审计日志收集和保留。

收集审计日志。确保根据企业的审计日志管理流程，在企业资产中启用了日志记录。

收集命令行审计日志。示例实现包括从 PowerShell®、BASH™ 和远程管理终端收集审计日志。

为包含敏感数据的企业资产配置详细的审计日志记录。包括事件来源、日期、用户名、时间戳、源地址、目标地址以及其他可能有助于取证调查的有用元素。

在企业资产上收集 DNS 查询审计日志，在适当且支持的情况下进行。

收集服务提供商日志（在支持的情况下）。示例实现包括收集身份验证和授权事件、数据创建和销毁事件以及用户管理事件。

在适当且支持的情况下，收集企业资产上的 URL 请求审计日志。

审查审计日志以检测可能表明潜在威胁的异常或异常事件。每周或更频繁地进行审查。

确保日志存储位置保持足够的存储空间，以符合企业的审计日志管理流程。

建立并维护审核日志管理流程，明确企业的日志记录要求。至少应涵盖企业资产的审核日志的收集、审查和保存。每年审查和更新文档，或在发生可能影响该保障措施的重大企业变更时进行更新。

在企业资产中保留审计日志至少90天。

标准化时间同步。在支持的情况下，在企业资产中配置至少两个同步时间源。