大多数合规要求一开始都只是走个勾选框的形式。有人确认日志已开启，打上勾，团队便继续前进。但 NIS2 正在改变这一点。监管机构现在追查的是你的控制措施的证据。他们会问你能否还原事情经过，以及你的记录是否值得信赖。因为如果你无法证明谁在何时做了什么，这些控制措施就形同虚设。
监管机构要的是证据
罚款金额很难确定。网上流传的数字因来源而异，欧盟也尚未建立罚款的中央登记册。不过，近期的执法模式能告诉我们更多信息。
德国联邦信息安全办公室（BSI）已发出数十份正式通知。法国国家网络安全局（ANSSI）已对能源和交通领域下达整改令，倾向于整改而非处罚。在荷兰，一项针对关键数字基础设施企业的审查发现，超过三分之一的企业事件报告流程薄弱，超过一半的企业没有存档经管理层批准的安全政策。
这些发现无一例外，都归结为缺少证据。
真正的要求在哪里
大多数报道止步于第21条，也就是 NIS2 中列出十项宽泛安全措施的部分。但这一条有意写得比较笼统。你需要的细节在欧盟委员会实施条例（EU）2024/2690 中，该条例自2024年11月起生效。它把这十项措施细化为150多项具体控制措施。日志记录和监控是审计追踪背后的控制措施，在附件第3.2节中有相关规定。
该条例直接适用于一组特定类型的企业，包括云和数据中心提供商、DNS 提供商、托管服务提供商以及在线市场。不在这份清单上的企业在形式上不受约束，但它仍然是监管机构最有可能采用的衡量标准。（我们的NIS2合规概览介绍了判断 NIS2 是否适用于你的标准。）
规则里经常出现“在适当情况下”或“在可行范围内”这样的措辞，听起来像是留有余地。但这里有个陷阱：如果你认定某项要求不适用于你，就必须以书面形式写明原因。出于合理理由决定不对某个系统启用日志记录没有问题，前提是你已记录了理由。否则，这就是一项审查发现。
证据往往在有人查看之前就消失了
域控制器上的 Windows 安全日志在设计上会自行覆盖。日志一旦达到大小上限，最旧的事件就会为新事件让位。这个上限很可能是多年前有人为了节省磁盘空间而设定的，根本没有考虑证据问题。在繁忙的服务器上，日志可能几分钟就轮转一遍。
但由于日志功能处于开启状态，新记录不断产生，没人会注意到损失。当监管机构询问四个月前发生的事情时，回答“日志是开着的”并没有帮助。
你可以马上做两件事：
- 检查你的域控制器和关键服务器目前保留日志多长时间。实际设置比政策文件更重要。
- 弄清楚你的审计平台能够直接搜索所需证据窗口中的多大一部分。近期数据通常搜索很快，而较早的数据存放在可能需要恢复的归档中。现在就测试这种检索。NIS2 第23条给你24小时来发出预警。到那时才发现调取六个月前的活动需要几天时间，就太晚了。
管理员可以编辑的日志不算证据
NIS2 要求你保护日志，防止未经授权的访问和更改。
想想你要调查的对象是谁：通常是拥有管理员权限的账户。如果你的审计数据存放在该账户控制的系统上，它的第一批动作之一就可能是清除日志。而且，Windows 虽然会记录日志已被清除，却会把这条记录写进刚刚被清空的那份日志里。你知道历史被抹掉了，却不知道里面原本有什么。
这就是为什么“保留多久”是错误的第一个问题。管理员可以编辑的七年归档，比管理员碰不到的六个月归档更脆弱。值得信赖的记录需要三个条件：
- 由受监控环境之外的系统收集并存储数据。
- 运行这些系统的人无法更改已存储的历史记录。
- 审计存储会记录对其自身所做的每一次更改。
企业最常在第二条上栽跟头。收集审计数据的账户往往是域管理员，因为这样设置最省事。于是，攻击者一旦接管管理员登录，也就能接触到证据。今天就检查一下，谁拥有你的审计数据库和归档的写入权限。
第三条要求最容易被忽视。你的平台应当告诉你审计日志何时被清除、审计设置何时被更改，以及谁查看过存储内容。如果做不到，你的证据背后就没有证据。
在监管机构动手之前先做的六项测试
留出两个小时，拿一块秒表，试着在你的真实环境中为以下每一种情况提供证据：
- 特权账户被攻陷。 你能按顺序看到它在所有系统中做过的一切吗？
- 有人获得了不该有的权限。 即便经过嵌套组，你也能说出是谁在何时授予的吗？
- 关键设置发生变更。 你能展示它之前是什么、现在是什么吗？
- 出现可疑账户。 你能说出是谁创建的、之后做了什么吗？
- 一起事件涉及多个系统。 你能否足够快地构建一条清晰的时间线，以支撑第23条规定的24小时预警？
- 上周二有人清除了一份安全日志。 你会察觉吗？你能证明自己是怎么知道的吗？
给自己打分，并记下你测试的日期范围。团队往往上周的情况能通过，上个季度的却不行。这个练习要让你看到的正是这种差距。而“能，但花了三天和五个团队”属于不通过。24小时的倒计时不在乎你动用了多少人。
Netwrix Auditor 的定位
六项测试都归结为同一种能力：一份值得信赖的历史记录，说明谁在何时更改了什么、更改前是什么，并存放在受监控环境无法悄悄改写的地方。
Netwrix Auditor 将 Active Directory、Entra ID、Microsoft 365、文件服务器、SQL Server 等系统中的变更、访问和管理员活动收集到自己的审计存储中。你的历史记录不再取决于域控制器把日志保留多久。
还有一个与这六项测试高度对应的 NIS2 报告包。例如，Administrative Group Membership Changes 覆盖测试1，Account Permissions Reports 覆盖测试2。Audit Log Clearing 和 Local Audit Policy Changes 覆盖测试6，而 Access to Archive Data 会显示谁读取过证据本身。NIS2 要求映射指南可以帮助你向监管机构展示从每项要求到相应报告的对应关系。
没有任何审计工具能让你单靠它实现 NIS2 合规。第21条涵盖的远不止监控，但其中每一项措施最终都必须得到证明，而证明来自审计证据。没有证据，在监管机构眼里，有效的控制措施和缺失的控制措施看起来毫无区别。
要点总结
早期执法是欧洲监管机构走向的一个信号。合规的重心正在从你的政策怎么写，转向你能拿出什么证据。
所以，把六项测试做一遍，并且把测试对准四个月前的日期。如果有任何一项不通过，就把修复它作为本周的优先事项，赶在监管机构让同样的修复变得更昂贵之前。
分享到
了解更多
关于作者
