這兩天被各大新聞網(wǎng)站一條來自重慶公安局網(wǎng)安總隊的新聞吸引，因為它和以往我們印象中的網(wǎng)警新聞差別，包羅了一個很有意思的關(guān)鍵詞：《網(wǎng)絡(luò)安適法》。輾轉(zhuǎn)來到源頭重慶網(wǎng)警公眾號我們找到詳細的內(nèi)容：重慶市某科技發(fā)展有限公司自 2017 年 6 月 1 日后，在提供互聯(lián)網(wǎng)數(shù)據(jù)中心辦事時，存在未依法留存用戶登錄相關(guān)網(wǎng)絡(luò)日志的違法行為，按照《網(wǎng)絡(luò)安適法》第二十一條(三)項、第五十九條之規(guī)定，決定給予該公司警告處罰，并責令限期十五日內(nèi)進行整改。

　　不是涉黃不是反動不是版權(quán)，只是未依法留存用戶登錄相關(guān)網(wǎng)絡(luò)日志，這和我們心目傍邊的“違法”好像挨不上邊，但是就是這么一個看似簡單的理由讓這家公司吃了苦頭。那么這關(guān)于網(wǎng)絡(luò)日志的第二十一條(三)項到底是什么內(nèi)容呢?翻閱 6 月 1 號發(fā)布的《中華人民共和國網(wǎng)絡(luò)安適法》(下稱《網(wǎng)絡(luò)安適法》)后我們發(fā)現(xiàn)，第二十一條(三)項規(guī)定：采取監(jiān)測、記錄網(wǎng)絡(luò)運行狀態(tài)、網(wǎng)絡(luò)安適事件的技術(shù)辦法，并根據(jù)規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個月。

　　看起來還是那么簡單明了，雖然這是重慶《網(wǎng)絡(luò)安適法》第一案，但并不是《網(wǎng)絡(luò)安適法》的第一次表態(tài)，短短兩個月的時間里，全國范圍內(nèi)就有多起和《網(wǎng)絡(luò)安適法》相關(guān)的處罰，那么《網(wǎng)絡(luò)安適法》到底是什么呢?

　　什么是《網(wǎng)絡(luò)安適法》?為什么“第一案”發(fā)生在第二十一條?

　　《中華人民共和國網(wǎng)絡(luò)安適法》是為保障網(wǎng)絡(luò)安適，維護網(wǎng)絡(luò)空間主權(quán)和國家安適、社會公共利益，掩護公民、法人和其他組織的合法權(quán)益，促進經(jīng)濟社會信息化健康發(fā)展制定。由全國人民代表大會常務(wù)委員會于 2016 年 11 月 7 日發(fā)布，自 2017 年 6 月 1 日起施行。《網(wǎng)絡(luò)安適法》包羅了網(wǎng)絡(luò)安適支持與促進、網(wǎng)絡(luò)運行安適、關(guān)鍵信息基礎(chǔ)設(shè)施的運行安適、網(wǎng)絡(luò)信息安適、監(jiān)測預(yù)警與應(yīng)急處置等幾大章節(jié)，這次違法所涉及的第二十一條就在第三章，網(wǎng)絡(luò)運行安適。

　　那么《網(wǎng)絡(luò)安適法》的七章數(shù)十條條款里，為什么“第一案”發(fā)生在第二十一條呢?我們先來看看第二十一條的詳細內(nèi)容：

　　第二十一條 國家實行網(wǎng)絡(luò)安適等級掩護制度。網(wǎng)絡(luò)運營者應(yīng)當根據(jù)網(wǎng)絡(luò)安適等級掩護制度的要求，履行下列安適掩護義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的拜候，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改：

　　(一)制定內(nèi)部安適辦理制度和操作規(guī)程，確定網(wǎng)絡(luò)安適負責人，落實網(wǎng)絡(luò)安適掩護責任;

　　(二)采取防范計算機病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害網(wǎng)絡(luò)安適行為的技術(shù)辦法;

　　(三)采取監(jiān)測、記錄網(wǎng)絡(luò)運行狀態(tài)、網(wǎng)絡(luò)安適事件的技術(shù)辦法，并根據(jù)規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個月;

　　(四)采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等辦法;

　　(五)法律、行政法規(guī)規(guī)定的其他義務(wù)。

　　從第二十一條的詳細內(nèi)容我們可以看到，和重慶網(wǎng)警所描述網(wǎng)絡(luò)日志相關(guān)的不只是第(三)項，第(二)項里的“技術(shù)辦法”和第(四)項里的“備份與加密”都是和日志相關(guān)，而且這還不是全部，查看《網(wǎng)絡(luò)安適法》我們能發(fā)現(xiàn)關(guān)于實時性要求的第二十五條：網(wǎng)絡(luò)運營者應(yīng)當制定網(wǎng)絡(luò)安適事件應(yīng)急預(yù)案，及時處置系統(tǒng)漏洞、計算機病毒、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等安適風險;關(guān)于數(shù)據(jù)脫敏的第四十條：網(wǎng)絡(luò)運營者應(yīng)當對其收集的用戶信息嚴格保密(脫敏)，并建立健全用戶信息掩護制度;甚至還有關(guān)于供應(yīng)商要求的第二十三條：網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安適專用產(chǎn)品應(yīng)當根據(jù)相關(guān)國家尺度的強制性要求，由具備資格的機構(gòu)安適認證合格或者安適檢測符合要求后，方可銷售或者提供。

　　這些規(guī)定看起來都很“簡單”，但是為什么還會出錯呢?其實從《網(wǎng)絡(luò)安適法》的解讀里我們就能找到答案：“《網(wǎng)絡(luò)安適法》將近年來一些成熟的好做法制度化，并為將來可能的制度創(chuàng)新做了原則性規(guī)定，為網(wǎng)絡(luò)安適工作提供切實法律保障。”這些看似簡單的法規(guī)其實是將一些成熟的好做法制度化，但是新法規(guī)下，傳統(tǒng)運維的做法及日志分析方式，很難滿足合規(guī)要求，這也是“第一案”發(fā)生的主要原因。

　　面對新《網(wǎng)絡(luò)安適法》我們該如何自處?

　　然而新《網(wǎng)絡(luò)安適法》已經(jīng)實施，大部分企業(yè)運維以及日志處理能力并沒有及時跟上，我們難道要坐看第二案第三案不停發(fā)生嗎?在討論處理措施之前我們還需要來看看傳統(tǒng)的運維及日志分析方法存在的毛病：

　　1、運維方面

　　需要登陸每一臺辦事器，使用腳本命令或程序查看，操作繁瑣，容易出錯。

　　數(shù)據(jù)是孤立分散的，，無法進行關(guān)聯(lián)，無法提取出其中的共性。

　　只能做簡單搜索和統(tǒng)計，無法滿足分析要求。

　　沒有實時監(jiān)控和報警，如程序出錯日志。

　　2、安適方面

　　黑客入侵后往往會刪除/修改日志，抹除入侵痕跡，導(dǎo)致無法通過日志分析攻擊行為。

　　海量的ids/waf報警，根本無法鑒別是否是誤報。

　　3、存儲日志性能方面

　　數(shù)據(jù)庫的schema無法適應(yīng)千變?nèi)f化的日志格式。

　　沒有日志生命周期辦理手段。

　　無法提供海量日志全文檢索和字段統(tǒng)計功能。