被遗忘的审计日志：谁在替你记住3年前的那一次点击

老周蹲在IDC机房的机架缝里，鼻尖蹭了一手灰。空调的冷风直往裤管里钻，他攥着移动硬盘的手指已经僵了。

冷机房里的冷日记

这次的活，是帮一家做AI训练的创业公司查数据泄露。客户已经找了两拨人，都没查到漏洞在哪，只好托人找到退休又被返聘的老网安运维老周。

数据泄露最头疼的就是溯源，找不到是谁拿的、什么时候拿的，说破天都是一笔糊涂账。老周开口第一句就是，把三年来的独立审计日志调出来。

客户脸都绿了，说我们哪存那么久，大部分日志三个月就清了…哦不对，当年做等保的时候，你让我们单独开了冷存储放审计，是不是那个？对，就是那个。

很多人听到审计日志四个字，第一反应就是这是给合规做的，应付检查的废纸。说实话，真出事的时候，也就这玩意儿能救命。

什么是审计日志？说直白点，就是给系统里所有操作记一本不能改的账。谁什么时候用什么账号登了哪台服务器，点了什么按钮，改了哪行配置，下载了多大的文件，连你输错三次密码这种小事，都一字不落记下来。和普通的系统日志不一样，它是单独存在的，权限独立，大多数情况下只能写，不能改也不能删——哪怕是最高权限的管理员，也动不了它半分。本来就是干这个用的。

老周翻了一下午，才把三年前那批冷盘导完，眼睛都花了。

藏在权限缝隙里的真相

客户这边的情况很诡异：半年来不断有自己的未公开训练数据流到黑市，查来查去，外网没有入侵痕迹，内网所有在职员工的账号都没有异常操作记录，就像数据自己长脚跑了一样。

老周翻了三天，从离职员工的列表一个个筛，终于在离职三年的前产品经理的账号关联日志里，挖到了痕迹。那人离职前最后一天，凌晨三点，突然登录了核心数据服务器。

那人很懂，登录之后立刻清掉了自己账号下的操作日志，还改了登录记录，要是只查普通日志，真就让他蒙过去了。可他不知道，审计日志是独立写的，你清自己账号的日志有什么用？人家这边早就写完存好了。连他第一次输密码输错了，提示用户名不对，改了之后才登进去，时间精确到毫秒，都记着。操作完之后，他分五次下载了整整12G的核心训练数据，每一次下载的请求头，每一个数据包的大小，全在上面。跑不掉。

找到了之后客户气得骂娘，说当初就觉得这个人走的时候不对劲，没想到真偷了数据，还是三年前就偷了，要不是审计日志存着，这辈子都抓不到。

不过话说回来，要不是老周当年硬要客户存，哪有今天？老周抽着十块钱的红塔山说，我见太多了，平时觉得审计日志占空间费钱，能不开就不开，能删就删，真出事了跪下来求都没用。现在合规要求存半年，我都劝客户能存三年存三年，能存十年存十年，又花不了几个钱对吧？

不可篡改的数字记忆

这件事说穿了很巧，但其实背后是整个数字世界规则的变化。原来我们说数字世界没有痕迹，删了就没了，现在不对了，审计日志正在把所有的痕迹都钉死。

你去银行办业务，摄像头拍你，操作日志记你填的每一个数字，那就是审计日志。你用智能汽车改了一次自动驾驶设置，哪时候踩的刹车，哪时候切的人工，也有审计日志。甚至你手机里的隐私权限调用，现在合规要求也得记审计日志，哪个APP什么时候调了你的摄像头，用了你的位置，你自己看不到，但真出事了，调出来就能说清是谁搞的鬼。

原来人的记忆是靠不住的。我干了坏事，我会忘，我会说我没干，我甚至能骗自己说我从来没做过。但审计日志不会。它不会美化，不会遗忘，不会被收买，就安安静静待在冷存储的硬盘里，等着某一天被翻出来。

可这事儿反过来想，也有点让人后背发紧对吧？如果你二十岁的时候，在网上搜过一个现在看来不合时宜的问题，如果你三十岁的时候，一时冲动改了某个东西，哪怕你后来早就忘了，早就改回去了，审计日志会不会替你记一辈子？它是抓坏人的盾，会不会也变成猎捕普通人的网？

没人能说清楚。老周不在乎这个。他今年快六十了，干了一辈子网安，见了太多因为没日志背锅的公司，见了太多因为没痕迹抓不到的内鬼。他现在给人做方案，不管客户怎么砍预算，独立审计日志这一项，半分钱都不让砍。

那天查完案子，老周把硬盘装好，临走的时候跟客户说，记得把这批日志接着存，别删。天知道以后还会用到什么。

风从机房门口吹进来，带起一点灰尘，落在堆在角落的冷盘上。没人知道那些盘里，记了多少没说出口的秘密。