公司刚上线的新业务系统，结果第二天就被通报存在未授权访问。排查一圈才发现，防火墙网关的某条放行策略是上周临时开通的测试规则，本该48小时后关闭，却一直没人清理。更糟的是，没人能说清楚这条规则到底是谁加的、什么时候加的。这种情况，在不少单位都真实发生过。
为什么需要审计日志？
网关作为内外网络的“大门”，它的安全策略决定了谁可以进、谁必须拦。但策略不是一成不变的，运维人员会根据需求增删改查规则。一旦缺乏记录，就像小区门禁换了管理员却没交接钥匙清单，出了事根本无从追责。
安全策略配置审计日志，就是把每一次策略变更的动作“记下来”。比如谁在几点几分添加了一条允许外部IP访问数据库端口的规则，日志里就得清清楚楚写着操作人、时间、变更内容和审批单号。这不是为了找麻烦，而是为了在出问题时能快速定位原因。
日志该记什么？
光有日志不够，关键得记对内容。一条合格的审计日志至少包含：操作者账号、操作时间戳、操作类型（新增、修改、删除）、变更前后的策略详情、关联的工单编号。比如：
2024-05-13 14:26:11 | 操作人: zhangwei | 类型: 新增策略
| 源IP: 203.0.113.45 | 目标: 192.168.10.20:3306
| 动作: 允许 | 有效期: 48小时 | 工单ID: IT-20240513007这样的记录，既方便日常核查，也能在安全事件回溯时提供铁证。
怎么开启和管理？
主流网关设备或云平台基本都支持审计日志功能，但默认可能只记录严重告警。需要手动进入管理后台，找到“系统日志”或“安全审计”模块，把策略配置类操作的日志级别调成“详细”或“调试”模式，并指定远程日志服务器集中存储。
举个例子，在某云平台控制台，路径通常是：网络与安全 → 防火墙网关 → 日志管理 → 开启配置变更审计。勾选“策略创建”“策略删除”“策略启用/禁用”等选项，再绑定一个日志服务实例，就能自动收集所有动作。
别让日志躺在那里吃灰
很多单位开了日志功能，但从不查看。这就像装了监控摄像头却从来不看录像。建议每周抽时间翻一翻最近的策略变更记录，重点看是否有非工作时间的操作、是否有高风险端口被意外放开、是否有离职人员账号残留操作。
更进一步的做法是设置告警规则。比如当有人一次性删除超过5条策略，或者开放了SSH（22端口）给公网IP时，系统自动发邮件提醒安全负责人。这种主动预警，往往能在问题扩大前及时干预。
安全不是一次性的任务，而是持续的过程。把网关策略的每一步变动都晒在日志的阳光下，才能真正守住网络的第一道防线。