问
交换机日志内容查询
15小时前提问
- 0关注
- 0收藏，60浏览
已采纳
zhiliao_Gixe
九段
一、日志集中留存架构（交换机侧配置查询）
1. 查看日志主机（集中采集服务器）配置：
display info-center loghost
确认日志发送至集中留存服务器的IP、端口、传输协议（推荐TCP/TLS保障传输安全）。
二、防篡改防删除配置查询
1. 查看日志本地存储保护（仅支持的设备，如带日志保险箱特性机型）：
display logbuffer summary
display info-center logfile
注：H3C交换机本地日志文件默认仅支持追加写入，防删除需依赖集中日志服务器（如ELK、H3C iMC UBA）的WORM存储/权限管控，交换机侧仅保障传输完整性，可查日志摘要校验：
display logbuffer verbose 查看日志序列号、时间戳连续性。
三、日志时间同步配置查询
1. 查看NTP配置：
display ntp-service status
display ntp-service sessions
确认时钟源、同步状态，保障日志时间准确。
四、日志访问权限审计策略查询
1. 查看用户登录/操作日志（审计访问行为）：
display logbuffer | include login|command|shell
2. 查看用户权限配置：
display local-user
display role
确认日志查询权限（如仅network-admin级可查日志）。
五、日志导出记录查询
交换机本身不记录“日志导出操作”的审计日志，需通过以下方式间接核查：
1. 查看用户操作日志中是否有save logfile、ftp/tftp导出相关命令：
display logbuffer | include save logfile|ftp|tftp|scp
2. 集中日志服务器侧留存导出操作审计记录。
六、日志留存时长校验
1. 本地日志留存：
display logbuffer size 查看缓冲区容量
display logfile 查看本地日志文件数量、大小、最早/最晚时间
注：本地留存时长取决于日志量与存储容量，需通过日志文件最早时间戳校验留存周期。
2. 集中留存时长需在日志服务器侧校验。
1. 查看日志主机（集中采集服务器）配置：
display info-center loghost
确认日志发送至集中留存服务器的IP、端口、传输协议（推荐TCP/TLS保障传输安全）。
二、防篡改防删除配置查询
1. 查看日志本地存储保护（仅支持的设备，如带日志保险箱特性机型）：
display logbuffer summary
display info-center logfile
注：H3C交换机本地日志文件默认仅支持追加写入，防删除需依赖集中日志服务器（如ELK、H3C iMC UBA）的WORM存储/权限管控，交换机侧仅保障传输完整性，可查日志摘要校验：
display logbuffer verbose 查看日志序列号、时间戳连续性。
三、日志时间同步配置查询
1. 查看NTP配置：
display ntp-service status
display ntp-service sessions
确认时钟源、同步状态，保障日志时间准确。
四、日志访问权限审计策略查询
1. 查看用户登录/操作日志（审计访问行为）：
display logbuffer | include login|command|shell
2. 查看用户权限配置：
display local-user
display role
确认日志查询权限（如仅network-admin级可查日志）。
五、日志导出记录查询
交换机本身不记录“日志导出操作”的审计日志，需通过以下方式间接核查：
1. 查看用户操作日志中是否有save logfile、ftp/tftp导出相关命令：
display logbuffer | include save logfile|ftp|tftp|scp
2. 集中日志服务器侧留存导出操作审计记录。
六、日志留存时长校验
1. 本地日志留存：
display logbuffer size 查看缓冲区容量
display logfile 查看本地日志文件数量、大小、最早/最晚时间
注：本地留存时长取决于日志量与存储容量，需通过日志文件最早时间戳校验留存周期。
2. 集中留存时长需在日志服务器侧校验。
H3C Comware‑V7 交换机日志相关核查（等保核查：集中留存、防篡改删除、时间同步、权限审计、日志导出、留存时长）
说明：交换机本地 Flash 存储空间有限，无法满足等保 6 个月长期留存；合规要求必须外发至独立 syslog 日志服务器做集中存储，本地仅做短期缓存。下面分【核查查询命令】+【合规配置参考】两部分。
一、日志集中留存架构核查
核查查询命令
#查看信息中心全局配置，查看是否配置loghost（syslog日志服务器）
display info-center
#查看日志文件概要（本地flash日志）
display logfile summary
#查看安全审计日志概要
display security‑logfile summary
#查看路由，确认交换机可达日志服务器
display ip routing‑table x.x.x.x
合规配置参考
system‑view
info‑center enable
#配置syslog日志服务器IP
info‑center loghost 192.168.1.100 facility local6
#指定日志输出级别，informational输出审计需要的操作日志
info‑center source default loghost level informational
#配置日志输出源IP，保证日志服务器识别设备
info‑center loghost source‑ip 192.168.1.1
#时间戳带毫秒，便于审计
info‑center timestamp loghost iso
save
架构要点：交换机实时把日志推送到独立外置 syslog 服务器；本地 flash 仅临时缓存；长期审计、留存、防篡改在外置日志服务器实现，交换机本地 Flash 不适合长期存审计日志。
二、日志防篡改、防删除核查
⚠️交换机本地日志：普通管理员
network‑admin可以清除本地 logbuffer；安全日志文件 security‑logfile 只能由 security‑audit 角色操作，普通管理员无权删除 / 清空安全日志，这是 V7 的防删除机制H3C。
核查命令
#查看安全日志文件是否开启
display security‑logfile summary
#查看本地用户角色，确认存在独立security‑audit审计账号
display local‑user
合规配置参考
system‑view
#开启安全日志文件（审计日志，普通管理员不能删）
info‑center security‑logfile enable
info‑center security‑logfile size‑quota 20
info‑center security‑logfile frequency 86400
#新建独立审计账号，角色仅security‑audit，不要赋予network‑admin
local‑user audit
password simple Audit@123
role security‑audit
service‑type terminal http https
quit
重要：
network‑admin可以执行reset logbuffer清空内存缓冲日志，但不能删除 security‑logfile 安全日志文件；- 真正防篡改：日志实时外发到独立 syslog 服务器，服务器端做防篡改（WORM / 只读归档），交换机侧做不到硬件级防篡改H3C。
三、日志时间同步（NTP）核查
日志时间错误，审计直接失效，必须 NTP 同步北京时间。
核查命令
display clock
display ntp‑service status
display current‑configuration | include ntp‑service
合规配置参考
system‑view
clock timezone Asia‑Shanghai add 08:00:00
ntp‑service enable
ntp‑service server 192.168.1.11 prefer
save
四、日志访问权限审计策略核查
V7 预定义角色：
network‑admin：设备完整配置管理，可清除普通日志缓存 logbuffer；security‑audit：仅能查看 / 导出安全审计日志，不能修改业务配置，不能删除安全日志文件，等保审计账号专用角色。
核查命令
#查看所有本地账号角色，禁止审计账号同时带network‑admin权限
display local‑user
#查看操作日志，查看哪些用户执行过日志相关操作
display logbuffer | include reset
display security‑logfile buffer
核查要点：审计人员使用security‑audit 角色账号登录，不能使用超级管理员账号做审计查看。
五、日志导出记录核查
⚠️交换机本机不记录 “谁执行了日志导出” 操作记录；导出行为记录保存在安全审计日志里（security‑logfile）；完整导出审计记录依赖外置 syslog 服务器。
交换机导出日志操作方式
- 导出本地普通日志：把
flash:/logfile/*.log.gz通过 tftp/ftp 拷贝出来； - 导出安全审计日志：使用
security‑audit账号登录，拷贝flash:/seclog/seclog.log；
#手动把安全日志缓冲区保存到文件
security‑logfile save
#tftp导出日志文件
tftp 192.168.1.10 put flash:/seclog/seclog.log
核查
#查看安全审计日志，检索ftp/tftp、file操作，确认导出行为记录
display security‑logfile buffer
提示：交换机无法专门生成 “导出记录表”，只能在操作安全日志里检索文件操作事件；完整导出操作审计，在外置日志服务器实现。
六、日志留存时长校验记录
- 交换机本地 Flash 日志：受 flash 空间限制，循环覆盖；
info‑center syslog min‑age设置日志最短保护小时数，到达时间才允许被覆盖，不能满足等保 6 个月H3C。 - 合规留存：外置 syslog 日志服务器设置 6 个月留存。
核查命令
#查看日志最短保护时间配置
display current‑configuration | include info‑center syslog min‑age
#查看本地日志文件列表，看最早日志时间
dir flash:/logfile/
dir flash:/seclog/
配置参考（本地最短保护，仅缓冲）
#本地日志至少保留168小时（7天）才允许覆盖，本地仅短期缓冲
info‑center syslog min‑age 168
重点：等保要求的 6 个月日志留存不能依靠交换机本地存储，必须看外置 syslog 服务器配置的保存周期。
七、等保核查现场检查清单（可直接给客户）
- ✅是否配置 syslog 日志服务器，日志实时外发；
- ✅是否配置独立
security‑audit审计账号，不赋予 network‑admin 权限； - ✅安全日志文件
security‑logfile是否开启； - ✅NTP 时间同步正常，时区东八区；
- ✅外置日志服务器留存周期≥6 个月；
- ✅日志服务器开启防篡改归档；
- ✅审计人员使用审计角色账号查看日志。
常见误区
- ❌不要指望交换机 flash 保存 6 个月日志：flash 容量很小，会循环覆盖；
- ❌不要使用超级管理员账号做日志审计查看，要使用 security‑audit；
- ❌本地 logbuffer 内存缓冲重启全部丢失，不能做审计依据，必须外发 syslog。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论