03 看得见的攻防：日志监控与错误处理

03 看得见的攻防：日志监控与错误处理

安全日志与监控记录关键事件（登录失败、权限异常、异常流量）并联动告警，让威胁从“看不见”变成“可发现、可溯源”；错误处理则把对外报错收敛为通用响应、详细堆栈只进日志，避免信息外泄。前者管“能不能看见攻击”，后者管“别把内幕送出去”，共同决定一次入侵能被多早发现、缩小到多小影响。

第六幕的第三个哨所是“可观测性”。前面所有防线都可能被绕过，但只要日志和监控在，至少攻击是“可见”的——而真实事故里，最惨的不是被攻破，而是被攻破几个月没人知道。这一节同时处理“看得见”（日志/监控）和“不能说”（错误处理）。

一、安全日志记什么

不是所有请求都值得记，围绕“异常与关键事件”记才有信噪比。值得落条目的几类：

• 认证事件：成功/失败的登录、改密、重置、锁定。
• 授权事件：越权访问被拒、权限变更、敏感资源的访问。
• 配置变更：权限改动、规则调整、账号增删。
• 异常请求：命中 WAF 规则、参数异常、访问被拒、高频访问。

每条日志要有 when（时间）、who（身份）、what（动作）、where（来源/资源）、result（成败），方便复盘链路。同时对日志里的敏感参数脱敏（呼应第三幕敏感数据），避免日志本身成为新的泄漏源。

二、错误处理：对外通用，对内详细

错误处理是“信息泄露防护”的执行面。生产环境里任何用户可见的响应都不应带数据库错误、堆栈、框架版本；应统一返回通用错误页，详细异常通过日志与链路追踪对外不可见地记录。这既防攻击者借报错探测结构，也符合配置加固一节“错误信息不外泄”的要求。

对外响应: 服务器开小差了, 请稍后再试
内部日志: 审计带上异常堆栈与请求 ID, 供排障
​

三、告警联动：把“看见”变成“处置”

日志只是素材，监控要能把关键事件转成告警并联动处置：

• 登录失败率飙升 → 疑似暴力破解/撞库，触发限流或验证码。
• 越权拒绝量异常 → 疑似被定向探测，标注调查对象。
• 同一来源高频请求 → 疑似扫描/爬虫，加入限流名单。
• WAF 命中率大幅升高 → 往往代表正在被攻击，立刻复核。

告警宁准勿滥，阈值设置不当会淹没在噪音里。成熟的姿势是“日志即事实 + 指标/watch 规则出告警 + 分级响应（高危及人工介入，低危仅记录）”。

⚠️ 常见坑：把安全日志和业务日志混在一个没有规矩的文件里，清日志时把排查依据一起清掉；或日志里随手记了手机号等专属明文。安全日志要单独规范、设保留期与访问控制，敏感字段先脱敏再落。

四、工程实践要点

• 安全日志独立规范，包含 who-what-when-where-result 五要素。
• 敏感字段落日志前脱敏，日志与备份加密，设保留期与访问控制。
• 监控把关键事件转告警并分级处置，阈值宁准勿滥。
• 错误对外通用、对内详细，堆栈只进日志不外发。
• 与应急响应（第七幕）联通，告警到处置要有明确触发链路。

五、一次完整的演练

背景：一个无日志规范、报错直接回显堆栈的演示站。操作一：触发一次失败登录与一次越权拒绝，观察是否留下可检索记录；操作二：访问一个触发异常的接口，看响应是否带堆栈。结果：关键事件无记录、堆栈直接暴露给访客。解读：攻击不可见、内幕裸露。变式：补齐五要素安全日志 + 敏感脱敏，报错改通用响应只记日志并配请求 ID；再设“登录失败率超阈值”的告警，模拟连打失误认证即触发，验证“攻击变为可见可控”。

六、日志与监控的“时间差”决定损失上限

很多人以为“有日志撤退”，实际上日志只有在“能及时读到并发处置”时才有价值。一次入侵从发生到被发现的时间差，几乎直接决定损失上限——拖得越久，攻击者越从容横向移动、翻新战果。所以监控要回答三个时间问题：告警延迟多少秒、处置从接到告警到落地要多快、历史日志能回溯多长（太短追不回早期痕迹，太长则淹没在存储成本里）。把这几个时间指标和“多久归档、多久销毁”一并写进方案，日志与监控才真正变成缩小影响窗口的工具，而不只是“事后能查到曾发生过”的考古档案。

七、别把“可见”变成“信息卖场”

日志让攻击可见，但若不加约束，日志本身会变成新的敏感泄漏源。这里有三条红线：一，绝不在日志里落密文明文、完整支付卡号、原始 Cookie 与令牌，要落先脱敏；二，日志与备份要加密并设访问控制，只给有排障与审计需要的人，不给“所有人随便查”；三，设明确的保留期与销毁策略，到期的日志按规范清理而非无限堆存。守住这三条，可观测性才不会以“把隐私铺在仓储里”为代价——这也是第六幕把“看得见”与“不能说”两个动作放在同一节的真正原因。

八、把五要素与时间指标固化成“日志模板”

日志如果每次靠人现想“我要记什么”，格式一定乱也一定漏。落地最省事的方式是给关键事件各定一张“日志模板”，把五要素一次性固定下来：登录失败记身份、来源、时间、次数；越权拒绝记资源、身份、时间、来源；配置变更记谁改了什么、何时、审批人；异常请求记命中规则与请求特征。模板写清必填项，排障时能按同一张索引快速对得上，监控告警也能直接读取标准字段。配上上一节的三个时间指标（告警延迟、处置时效、可回溯长度），这套日志就从“随意记”升级成“可检索、可告警、可审计”的正式设施——它既是安全事件的事实底座，也是第七幕合规审计要拿出来的留痕证据。宁可花时间先把模板定好，也比出了事再去翻一堆格式不一的日志高效得多。

本节要点回顾

• 时间差定损失上限：看告警延迟、处置时效、可回溯长度三个时间指标，把监控变成缩小影响窗口的工具。
• 日志是信息卖场要设红线：不落明文卡号令牌、加密加访问控制、设保留期销毁策略，可观测不以隐私为代价。
• 安全日志围绕认证/授权/异常请求记录，带五要素，敏感字段脱敏。
• 错误处理对外通用、对内详细，堆栈只进日志不外发防探测。
• 监控告警把关键事件转成处置动作，阈值宁准勿滥、分级响应。
• 别把安全日志与业务日志糊在一起，独立规范、设保留与访问控制。
• 日志让攻击可见，是应急响应与缩小影响窗口的前提。