公司刚开完会，IT部门接到任务：销售部小李昨天下午三点突然删掉了一个共享文件夹里的客户名单，现在谁也说不清是不是误操作。老板想知道到底发生了什么，有没有留下记录。这时候，网络审计跟踪就派上用场了。
什么是网络审计跟踪
简单说，就是把企业内部网络里发生的操作“录下来”。谁在什么时候登录了系统，访问了哪些资源，修改或删除了什么文件，从哪台设备连进来的，甚至用了什么命令，都能查到。不是为了监视员工，而是为了在出问题时快速定位原因。
日志收集是基础
大多数系统和设备本身就会产生日志。比如Windows的事件查看器、Linux的syslog、防火墙的操作记录、数据库的查询日志。关键是把这些分散的日志集中管理起来。常见的做法是部署一个日志服务器，用Syslog或专用代理把各节点的日志实时传过来。
# Linux下配置rsyslog发送日志到中心服务器
*.* @@192.168.10.100:514用户行为要能关联
光有设备日志还不够。得知道某个IP地址背后是谁。结合AD域认证信息，可以把操作行为绑定到具体账号。比如某员工用个人账号登录办公系统后下载了大量合同，这条路径就能串起来。
关键操作重点监控
不是所有操作都需要同等关注。像权限变更、敏感文件访问、批量导出数据这类高风险动作，应该设置触发告警。例如，在数据库中执行DELETE FROM customers这种语句，系统自动发邮件通知管理员。
保留时间要合规
日志不能只存一周。很多行业要求至少保留6个月甚至更久。存储方案要考虑压缩和归档，避免磁盘爆满。同时加密存储，防止日志被篡改。
实际排查案例
上周财务部发现报销系统有异常登录，IP来自外省。调取认证日志发现是某员工账号在非工作时间登录，再查该账号的操作记录，发现尝试导出工资表。结合VPN连接日志和终端上线时间，确认是账号密码泄露导致，及时重置并加强了双因素验证。
工具选择看场景
小公司可以用开源方案组合，比如ELK（Elasticsearch + Logstash + Kibana）做日志分析。中大型企业可能直接上商业产品，如Splunk、SolarWinds LEM，功能更全，支持报表导出和自动化响应。