日志查完还能再查：日志中心归档设置与格式
出了安全事件回头查三个月前的访问记录，发现日志早就被系统按上限滚动删掉了——这是日志中心没配归档的典型代价。DSM 的日志中心在作为接收端集中收全网日志时（接收日志的配置此前已单独写过），收下来的日志默认躺在日志数据库里，各协议都有可保留条数上限，到顶就删旧的。把归档设置配好，日志才能从「滚动消耗品」变成「可回查的档案」。贵州诚鑫致达科技给客户上集中日志时，归档目的地与规则是必配项。
归档配置步骤
-
定存储目的地：归档设置页里给收到的日志选一个文件夹作为存储与归档目的地。规划上建议独立共享文件夹、独立权限，只给管理员开。为什么：日志档案是安全事件的证据链，和普通共享混放既容易误动，也容易被顺带翻到。
-
本地日志一起归档：勾选「将本地日志归档到之前指定的存储位置」，NAS 自己的系统、连接与文件传输日志也按归档规则落到目的地。官方说明，本地日志默认保存在有容量上限的系统分区里，归档到目的地能给本地日志更完整的留存。为什么：系统分区容量有限，本地日志不归档就是最先被滚掉的那批。
-
设归档规则：三个触发维度——日志数据库达到特定大小、单个日志的数量达到特定条数、或到达特定时间，满足即自动归档。为什么：按大小防撑爆、按条数防超限、按时间保证节奏，三选一或组合都要跟日志产生速率对齐。
-
认清不归档的后果：未启用归档时，日志累计超过数据库可保留上限就直接删除旧日志，官方给出了各协议的可保留条数上限，例如 AFP、File Station、FTP、WebDAV 各 20,000 条，SMB 100,000 条。为什么：看着多，忙时的文件服务器一两天就能滚完，安全追溯窗口短得可怜。
-
选归档格式：除默认的 SQLite 文件外可加选三项——同时以纯文本归档（方便直接翻看与导入其他系统）、压缩为 ZIP（省空间）、按设备分开归档（把发日志来的每台客户端的档案分开保存）。为什么：文本+压缩是留档常用组合；按设备分开在多机环境里能把排查范围立刻收窄。
-
回查路径演练：归档不是配完就算完，定期打开日志归档目的地做一次「找到某天某设备的日志并读出」演练；浏览本地已归档日志时注意文件名里带 LOCALARCH 标识的那份数据库。为什么：没演练过的归档等于没有归档，真出事时找不到、读不开才是大事故。
三条边界先知道
- 归档不等于分析：归档解决「留得住」，安全事件检测还要靠告警规则与定期审查，两件事别指望一件顶两件。
- 目的地也是数据：归档文件夹要纳入 NAS 自己的备份计划，别让证据链只有单份。
- 保留期限定清楚：留多久要跟公司安全制度与合规要求对齐，配进归档规则并写进交付文档。
日志的价值在出事那天才兑现，而配置要在出事之前完成。你现在还能查到上个月的文件访问记录吗？
企业存储选型参考｜贵州诚鑫致达
做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。