等保整改 — 安全审计（操作审计）整改报告

一、问题描述

二、方案选型

2.1 可选方案对比

2.2 最终选择：CLI拉取 + 本地存储

选择理由：

• 零成本，无需为审计日志额外付费
• 利用已有运维服务器114.55.33.1的磁盘空间
• 通过阿里云CLI直接拉取ActionTrail审计事件，存储为本地JSON文件
• 配置SHA256完整性校验，满足防篡改要求

补充说明：

ActionTrail创建跟踪时阿里云平台要求必须配置一项存储服务（OSS或SLS），因此额外配置了OSS投递作为平台侧的数据留存。核心整改逻辑仍为CLI定时拉取 + 本地存储，OSS投递属于平台强制要求的附属配置。

三、整改方案

3.1 整体架构

阿里云 ActionTrail（操作审计，免费）
        │
        ├─→ OSS投递（平台强制要求，附属配置）
        │
        └─→ 本地CLI定时拉取（核心方案，0元）
                │
                ├─→ /var/log/audit-logs/raw/  按月目录存储
                ├─→ SHA256完整性校验（防篡改）
                ├─→ 权限收紧750（防未授权访问）
                └─→ 定期清理过期日志（保留180天）

3.2 整改措施

四、服务器环境

五、费用明细

六、文件清单

6.1 脚本文件

6.2 定时任务

6.3 数据目录

七、脚本内容

7.1 audit-log-pull.sh

#!/bin/bash
LOG_BASE="/var/log/audit-logs"
RAW_DIR="${LOG_BASE}/raw"
LOG_FILE="${LOG_BASE}/pull.log"
RETENTION_DAYS=180
DATE_YESTERDAY=$(date -d 'yesterday' -u +%Y-%m-%d)
MONTH_DIR="${RAW_DIR}/${DATE_YESTERDAY:0:7}"
mkdir -p "$MONTH_DIR"

log() {
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] $1" | tee -a "$LOG_FILE"
}

log "===== 开始拉取审计日志: ${DATE_YESTERDAY} ====="

START_TIME=$(date -d "yesterday 00:00:00" -u +%Y-%m-%dT%H:%M:%SZ)
END_TIME=$(date -d "yesterday 23:59:59" -u +%Y-%m-%dT%H:%M:%SZ)
OUTPUT_FILE="${MONTH_DIR}/audit-${DATE_YESTERDAY}.json"
TEMP_FILE=$(mktemp)
TOTAL_EVENTS=0
PAGE=1
NEXT_TOKEN=""

RESPONSE=$(aliyun actiontrail LookupEvents \
  --StartTime "$START_TIME" \
  --EndTime "$END_TIME" \
  --MaxResults 50 \
  --NextToken "$NEXT_TOKEN" 2>/dev/null)

EVENT_COUNT=$(echo "$RESPONSE" | python3 -c "
import sys, json
try:
    data = json.load(sys.stdin)
    print(len(data.get('Events', [])))
except:
    print(0)
" 2>/dev/null)

if [ "$EVENT_COUNT" = "0" ]; then
    log "警告: ${DATE_YESTERDAY} 无审计事件"
    echo "{\"date\":\"${DATE_YESTERDAY}\",\"events\":[],\"total\":0,\"pull_time\":\"$(date -Iseconds)\"}" > "$OUTPUT_FILE"
    rm -f "$TEMP_FILE"
    log "===== 完成: 0条事件 ====="
    exit 0
fi

echo "$RESPONSE" | python3 -c "
import sys, json
data = json.load(sys.stdin)
for e in data.get('Events', []):
    print(json.dumps(e, ensure_ascii=False))
print('---NEXT---')
print(data.get('NextToken', ''))
" > "$TEMP_FILE"

TOTAL_EVENTS=$((TOTAL_EVENTS + EVENT_COUNT))
NEXT_TOKEN=$(awk '/---NEXT---/{getline; print}' "$TEMP_FILE")

while [ -n "$NEXT_TOKEN" ] && [ "$NEXT_TOKEN" != "" ]; do
    PAGE=$((PAGE + 1))
    log "拉取第 ${PAGE} 页..."
    RESPONSE=$(aliyun actiontrail LookupEvents \
      --StartTime "$START_TIME" \
      --EndTime "$END_TIME" \
      --MaxResults 50 \
      --NextToken "$NEXT_TOKEN" 2>/dev/null)
    echo "$RESPONSE" | python3 -c "
import sys, json
data = json.load(sys.stdin)
for e in data.get('Events', []):
    print(json.dumps(e, ensure_ascii=False))
print('---NEXT---')
print(data.get('NextToken', ''))
" >> "$TEMP_FILE"
    EVENT_COUNT=$(echo "$RESPONSE" | python3 -c "
import sys, json
print(len(json.load(sys.stdin).get('Events', [])))
" 2>/dev/null)
    TOTAL_EVENTS=$((TOTAL_EVENTS + EVENT_COUNT))
    NEXT_TOKEN=$(awk '/---NEXT---/{getline; print}' "$TEMP_FILE")
    sleep 0.5
done

python3 << PYTHON
import json
events = []
with open("$TEMP_FILE", "r") as f:
    for line in f:
        line = line.strip()
        if line and line != "---NEXT---":
            try:
                events.append(json.loads(line))
            except:
                pass
output = {
    "date": "${DATE_YESTERDAY}",
    "pull_time": "$(date -Iseconds)",
    "total": len(events),
    "retention_days": ${RETENTION_DAYS},
    "events": events
}
with open("$OUTPUT_FILE", "w") as f:
    json.dump(output, f, ensure_ascii=False, indent=2)
print(f"保存 {len(events)} 条事件到 $OUTPUT_FILE")
PYTHON

rm -f "$TEMP_FILE"
log "===== 完成: ${TOTAL_EVENTS} 条事件 ====="

7.2 audit-log-cleanup.sh

#!/bin/bash
find /var/log/audit-logs/raw -name "audit-*.json" -mtime +180 -delete
find /var/log/audit-logs/raw -type d -empty -delete
echo "[$(date '+%Y-%m-%d %H:%M:%S')] 清理完成" >> /var/log/audit-logs/pull.log

7.3 audit-log-integrity.sh

#!/bin/bash
HASH_FILE="/var/log/audit-logs/query/integrity-hashes.log"
echo "===== 完整性校验 $(date '+%Y-%m-%d %H:%M:%S') =====" >> "$HASH_FILE"
find /var/log/audit-logs/raw -name "audit-*.json" -mtime -1 -exec sha256sum {} \; >> "$HASH_FILE"

八、等保控制点覆盖对照

九、整改表格填写

十、方案适用场景

10.1 适用场景

• 预算为零：无需为审计日志存储支付任何云服务费用
• 小型云环境：服务器数量较少，审计日志量可控
• 已有运维服务器：可直接在现有CentOS服务器上部署脚本
• 等保二级/三级整改：需要满足审计记录留存6个月以上的基本要求

10.2 不适用场景

• 大型企业、多账号多区域：日志量大，建议使用SLS方案统一管理
• 需要实时告警：本方案为每日定时拉取，不具备实时监控能力
• 服务器磁盘空间紧张：本地存储需要预留足够磁盘空间

十一、后续维护

十二、操作时间线