为什么查不到三天前的上网记录？
公司IT接到行政同事电话，说要调取某员工上周五的网页访问记录，结果在审计系统里翻了半天，只能看到最近48小时的数据。这种情况其实挺常见的，表面看是“查不到”，实际多半跟日志保存策略和存储机制有关。
网络行为审计系统本身会记录每个终端的访问网址、应用使用、文件上传等操作，但这些数据不会无限期保留。默认配置下，很多设备只保留两到三天的详细日志，时间一过就被新数据覆盖。
检查日志轮转设置
大多数审计设备使用日志轮转（log rotation）机制，按大小或时间切分文件。比如每天生成一个日志包，存满3个就删除最旧的那个。这时候就得进系统后台看看相关配置：
log rotate daily
maxfiles 3
destination /var/log/audit/<br>compress true上面这个配置意味着：每天切一次日志，最多保留3个，老的自动删掉。如果想查更久之前的记录，得提前调整成保留7个甚至更多。
存储空间不足导致日志丢失
有次去客户现场排查，发现他们的审计服务器硬盘只剩12GB，而每天产生的日志接近8GB。系统不断报警，日志服务频繁中断，部分时间段的数据干脆就没写进去。这种情况不是软件坏了，而是物理空间撑不住了。
解决办法是扩容存储，或者把历史日志定期导出到NAS或云存储。有些单位会设置脚本每月初自动打包上月日志并上传：
tar -czf /backup/audit_$(date +%Y%m%d).log.tar.gz /var/log/audit/*.log<br>aws s3 cp /backup/audit_*.tar.gz s3://company-audit-logs/日志级别设置过低
另一个容易被忽略的点是日志级别。有的管理员为了省资源，把审计级别调成“仅记录阻断行为”，这意味着正常访问网页、使用微信这些操作都不会写入日志。等真要查问题时，发现一片空白。
应该根据实际需要选择“完整记录”或“详细模式”，尤其是涉及合规要求的场景，比如金融、教育行业，必须保留完整的用户行为轨迹。
时间同步问题影响日志归档
某学校曾遇到日志无法按天归档的问题，查到最后发现是审计服务器本地时间比标准时间慢了近18分钟。系统判定“还没到切割时间”，导致多天数据挤在一个文件里，检索效率极低。
确保NTP时间同步服务正常运行很重要：
systemctl status chronyd<br>timedatectl set-ntp true一旦时间对不准，不仅影响归档，还会让跨设备日志关联变得困难。
备份了日志却打不开？注意格式兼容性
有人把审计日志备份下来，几个月后要用时才发现打不开。原因可能是导出时用了私有格式，或者依赖特定厂商的解析工具。建议日常导出时同时保留原始文本日志（如syslog格式），方便未来用通用工具查看。
比如保留以下结构：
2025-04-01 10:23:15,192 INFO [user:zhang] visited http://example.com/report.pdf这种纯文本格式几十年后也能读得出来，不怕软件淘汰。