VPN访问日志审计管理规范

VPN访问日志审计管理规范一、总则1.1目的VPN是外部人员进入内网的唯一常设通道，其日志是判断“谁、在何时、从哪里、访问了什么”的唯一证据链。本规范解决三个实际问题：日志留没留下、留得全不全、事后查得出来。凡因日志缺失导致安全事件无法溯源的，按本规范第8章追责。1.2适用范围•远程接入VPN（SSLVPN/IPSecVPN）的全部用户，包括正式员工、外包人员、合作伙伴；•站点到站点VPN（分支—总部、与第三方专线类VPN互联）的隧道侧日志；•VPN网关、Radius/LDAP认证服务器、堡垒机、SIEM平台的运维人员。1.3依据文件•《中华人民共和国网络安全法》（2017年6月1日施行）第二十一条关于网络日志留存不少于6个月的要求；•《信息安全技术网络安全等级保护基本要求》（GB/T22239—2019）中关于审计记录内容与留存期的要求；•本单位《信息系统账号与权限管理办法》《网络安全事件应急预案》。二、术语与角色职责2.1术语术语定义VPN网关提供远程/站点接入的VPN设备或系统认证源为VPN提供账号核验的LDAP、AD、Radius或本地库SIEM集中收集、关联、告警的安全信息与事件管理平台审计员独立于VPN运维、负责日志核查的专职/兼职人员日志归一化将不同设备原始日志转换为统一字段格式的过程2.2角色与职责角色职责不履职的直接后果网络运维工程师保证VPN网关日志外发配置有效；网关变更后24小时内验证日志链路链路中断未被察觉，事件无证据审计员按第4章频次执行日检、周审、月度专项违规行为长期潜伏安全管理员账号生命周期管理；接收并处置告警离职账号继续可用信息安全负责人审批审计例外、审批日志删除（只允许合规保留期满销毁）—法务/合规员工隐私边界审查，审核告警规则中的个人数据范围过度监控引发合规争议职责分离硬约束：VPN网关管理员必须与审计员分设，严禁同一人既管理网关又独自审阅自身操作的日志；小微企业无法分设时，由部门负责人兼任审计复核。三、日志采集范围与字段要求3.1必须采集的事件类型1.登录成功与失败（含认证方式：密码、短信OTP、证书、MFA）；2.注销、会话超时、强制下线；3.用户/设备绑定信息：源IP、设备指纹或终端标识、客户端版本；4.分配的内网IP与映射账号；5.经VPN访问的目标资源（目标IP、端口、协议、URL）；6.账号创建、禁用、删除、角色变更；7.网关自身管理操作（配置变更、策略修改、重启）；8.双因素令牌的申请、挂失、解绑。3.2最小字段集每条记录必须包含：时间戳（统一UTC或注明时区，精度到秒）、源IP、账号名、事件类型、结果（成功/失败/原因码）、会话ID。目标资源与流量字节数为“应当”采集项——无该字段时，须以堡垒机或NDR侧日志补齐关联。3.3采集链路要求优先采用网关直连SIEM的syslog（TLS加密，端口6514）实时外发；若网关不支持TLSsyslog，则每15分钟通过SFTP拉取日志文件，校验MD5后导入；严禁仅依赖网关本地存储作为唯一日志来源（本地盘满或设备故障时日志全部丢失）。链路建成后做一次断链演练：手动停止外发30分钟，验证SIEM在60分钟内产生“日志源离线”告警。四、日志审计内容与频次4.1日检（每个工作日，10:00前完成，耗时控制在15分钟内）•比对当日SIEM接收日志量与前7天均值，偏差超过30%视为异常，立即排查是业务变化还是采集断链；•查看昨日登录失败告警是否有未处置项；•检查非工作时段（22:00—06:00）登录清单，逐条确认。产出：日检结论一行记录（正常/异常及处置单号），存入SIEM工单。4.2周审（每周五）•统计每账号本周VPN使用时长与流量，列出Top10及零使用账号；•零使用连续30天的外部账号提交安全管理员冻结；•抽查3条高风险告警（见4.4规则）的处置闭环情况。4.3月度专项（每月5个工作日内完成上月审计）1.账号与在职名单比对：导出全部VPN账号，与HR在职/在册名单交叉核对，离职未销号、项目结束未回收的账号3个工作日内禁用；2.权限审阅：核对VPN用户组与实际岗位职责，越组赋权需审批单支持；3.日志完整性校验：抽样5个会话，从网关原始日志到SIEM记录逐条比对字段与条数，缺失即升级为链路故障处置；4.管理员操作复核：本月全部网关配置变更须有对应变更单，无单操作按第8章处理。4.4告警规则（最低集）规则阈值处置时限同账号登录失败5次/10分钟30分钟内人工确认单账号并发会话大于2当日核查非常用地点/非常用设备登录设备指纹或IP归属地变更1小时内核实，未确认即挂起会话离职账号登录任意1次立即禁用并溯源单会话流量出方向大于5GB（按常规办公基线估算，可按部门调整）当日核查是否数据外带非工作时段批量登录10账号/30分钟视为疑似撞库，启动第6章三级响应五、日志存储、保护与留存5.1留存期限安全日志（登录、认证、管理操作）必须留存不少于180天，满足等级保护与《网络安全法》要求；会话级流量明细日志留存90天。到期销毁须填写《日志销毁审批单》，经信息安全负责人批准后执行并记录销毁方式与经办人。5.2存储与防篡改•SIEM在线存储30天，30天以上数据转压缩归档至独立存储区，归档区账号与网关管理员账号分离；•归档文件每日校验哈希值（SHA-256），哈希不匹配即视为可能被篡改，立即封存并报信息安全负责人；•严禁任何人在未审批情况下修改或删除原始日志；确因存储容量紧急需要清理时，只能清理已过留存期的归档，且清理动作本身生成审计记录。5.3隐私边界审计仅限安全目的。包含个人行为细节的报表（如某员工具体访问了哪些内部系统）只在事件调查时生成，须信息安全负责人批准；例行周报只呈现聚合统计。六、异常处置与事件响应6.1分级响应级别判定标准启动权限处置原则一级（一般）单账号异常登录、零星失败告警，可确认本人操作审计员记录并提醒用户；48小时内闭环二级（较大）账号疑似被盗（异地+新设备+失败后成功）、离职账号活动安全管理员1小时内挂起账号与活动会话，追溯该账号90天日志圈定影响面三级（重大）批量撞库、网关配置被无单修改、日志链路被人为断开信息安全负责人按应急预案启动；必要时全量禁用VPN接入2小时排查；向监管报告按《国家网络安全事件报告管理办法》执行6.2风险演化与阻断点典型事件链：账号口令泄露（钓鱼/复用泄露库）→攻击者登录VPN获得内网IP→横向探测内网弱口令服务→触达核心系统拖取数据。三个阻断点依次为：MFA（第一道，未启用MFA的账号2025年起全部强制启用）、并发会话与设备指纹校验（第二道）、4.4条流量与行为告警（第三道）。审计的核心价值是让阻断点告警在横向移动阶段（通常发生在登录后30分钟至2小时内）被人工确认。6.3回退与恢复误判挂起的账号，用户提交部门负责人确认后4小时内恢复；三级响应解除须同时满足：告警根因查明、影响面清单签字确认、日志证据归档。七、系统与流程保障•时钟同步：网关、认证服务器、SIEM全部指向同一NTP源，时间偏差大于5秒视为配置异常；•变更管理：网关日志策略、SIEM告警规则的每次修改须有变更单，变更后24小时内由审计员验证规则生效（发送测试事件验证触发）；•审计规则本身每年评审一次，结合上一年告警误报率调整阈值：单条规则月误报大于20条即修订阈值或增加白名单条件；•培训：审计员上岗前完成8学时培训（SIEM检索、典型事件研判、取证导出），每年复训4学时并留考核记录。八、检查与考核•每季度由信息安全负责人组织一次规范符合性检查，抽查项见附录B检查表，得分低于80分（百分制）的部门限期10个工作日整改；•以下情形纳入考核扣分：日检漏检一次扣2分；离职账号未按期禁用，每个扣5分；日志断链超过24小时未发现扣10分；•因日志缺失导致事件无法溯源的，追查当期日检/周审记录，责任到签署人；无记录视为未执行。九、附则本规范自发布之日起施行，由信息安全部负责解释，每年至少评审一次。原有与本规范冲突的规定以本规范为准。十、附录A：VPN日志审计日检记录表（样表）日期检查人昨日日志量7日均值偏差高风险告警数已闭环数非工作时段登录核查结论/工单号2025-XX-XX张某某48,32050,100-3.6%222条，均为加班确认正常/GZ-2025-XXXX十一、附录B：季度符合性检查表序号检查项检查方法判定标准结果1日志留存期抽查最早可检索日志日期大于180天2链路完整性停发测试事件验证告警60分钟内告警3时钟同步比对网关与NTP源偏差小于5秒4账号一致性VPN账号与HR名单比对无离在职差异5MFA覆盖率导出账号认证方式统计100%覆盖6归档哈希校验抽取3份归档复验SHA-256全部匹配7职责分离核对