档案管理系统安全日志不完整排查修复与加固全实操指南

第一步：前置准备——明确日志不完整的判定标准

首先别盲目排查，先确认档案管理系统（以下简称“档管系统”）必须记录的安全日志字段，一般可直接参考国家档案局《数字档案馆安全管理规范》DA/T 78-2019：

• 主体信息：操作用户ID、姓名、IP地址、MAC地址、终端类型
• 操作对象：档案全宗号、档号、文件路径、案卷/目录/文件权限
• 操作行为：登录/登出、查询/浏览、下载/打印、新增/修改/删除、权限变更、备份/恢复
• 操作结果：成功/失败、失败原因、操作时间（精确到秒）

然后用档管系统自带的日志查询功能，随机抽选3天、10个不同用户的操作行为，对比必填字段缺失率，以及是否存在“登录后直接跳过重操作记录”“高权限操作（如批量删除）被截断”的问题。

第二步：快速排查——定位日志不完整的3类核心原因

原因1：档管系统自身日志配置未启用/不全

这是80%以上中小型档管系统的问题，快速排查步骤：

• 1. 找到档管系统的系统配置后台（默认路径一般是/dms/config/syslog或在管理员菜单的“系统设置-安全设置”）
• 2. 检查“安全日志记录开关”是否为“启用”状态
• 3. 检查“日志记录字段”是否勾选了DA/T 78-2019要求的所有必填项
• 4. 检查“日志存储阈值”（单条日志大小/总存储空间百分比）是否设置过小（建议单条≥1KB，总空间≥系统盘剩余空间的20%）

原因2：服务器日志存储服务异常

如果档管系统配置没问题，就查存储服务（以最常用的MySQL存储、rsyslog转发为例）：

• 1. 检查MySQL服务状态：
  systemctl status mysqld CentOS/RHEL
sudo systemctl status mysql Ubuntu/Debian
  如果显示inactive，重启服务：
  systemctl restart mysqld CentOS/RHEL
sudo systemctl restart mysql Ubuntu/Debian
• 2. 检查MySQL日志表是否满了：登录MySQL（密码替换为实际密码）
  mysql -u root -p
USE dms_database; 替换为档管系统的实际数据库名
SHOW TABLE STATUS LIKE 'dms_security_log'; 替换为实际日志表名
  如果Data_free接近0，清理旧日志（先备份！）：
  CREATE TABLE dms_security_log_bak_202X0X0X LIKE dms_security_log; 替换备份日期
INSERT INTO dms_security_log_bak_202X0X0X SELECT FROM dms_security_log WHERE create_time < '202X-0X-01'; 替换保留的最早日期
DELETE FROM dms_security_log WHERE create_time < '202X-0X-01';
• 3. 检查rsyslog转发状态（如果档管系统用rsyslog存本地或转发到日志服务器）：
  systemctl status rsyslog
sudo systemctl status rsyslog
  重启：
  systemctl restart rsyslog
sudo systemctl restart rsyslog

原因3：高权限用户或恶意程序篡改/删除日志

检查方法：

• 1. 对比服务器/设备的原始访问日志（Apache/nginx访问日志在/var/log/httpd/access_log或/var/log/nginx/access.log）和档管系统的登录日志，看是否有未记录的登录IP
• 2. 检查档管系统的数据库操作日志（MySQL在my.cnf/my.ini里开启general_log后可查看，开启步骤：
  vim /etc/my.cnf CentOS/RHEL
sudo vim /etc/mysql/mysql.conf.d/mysqld.cnf Ubuntu/Debian
  在[mysqld]下添加：
  general_log = 1
general_log_file = /var/log/mysql/mysql-general.log
  重启MySQL后查询general_log里是否有DELETE/UPDATE dms_security_log的操作）

第三步：落地修复——解决3类核心问题的具体操作

修复1：档管系统日志配置补全

如果是中小型商业档管系统（如泛微OA内置档管、致远互联档管），直接按第一步的配置菜单操作；如果是开源档管系统（如Mayan EDMS），补全配置文件：

• 1. 登录Mayan EDMS服务器，编辑配置文件：
  sudo vim /etc/mayan/settings/local.py
• 2. 添加或修改以下内容（可直接复制）：
  from mayan.settings.production import

启用所有安全日志
LOGGING['loggers']['mayan.apps.acls'] = {'handlers': ['console', 'file'], 'level': 'INFO', 'propagate': False}
LOGGING['loggers']['mayan.apps.documents'] = {'handlers': ['console', 'file'], 'level': 'INFO', 'propagate': False}
LOGGING['loggers']['mayan.apps.permissions'] = {'handlers': ['console', 'file'], 'level': 'INFO', 'propagate': False}
LOGGING['loggers']['mayan.apps.user_management'] = {'handlers': ['console', 'file'], 'level': 'INFO', 'propagate': False}

设置本地日志存储路径和大小限制
LOGGING['handlers']['file'] = {'level': 'INFO', 'class': 'logging.handlers.RotatingFileHandler', 'filename': '/var/log/mayan/mayan-security.log', 'maxBytes': 10485760, 'backupCount': 30, 'formatter': 'verbose'}

启用数据库日志记录高权限操作
DOCUMENT_INDEXING_REBUILD_LOG_LEVEL = 'INFO'
DOCUMENT_DELETE_LOG_LEVEL = 'INFO'
USER_CREATE_LOG_LEVEL = 'INFO'
PERMISSION_GRANT_LOG_LEVEL = 'INFO'
• 3. 重启Mayan EDMS：
  sudo systemctl restart mayan

修复2：服务器日志存储服务优化

• 1. 扩大MySQL日志表的单条和总空间：登录MySQL后执行：
  USE dms_database;
ALTER TABLE dms_security_log MODIFY COLUMN log_content TEXT; 之前如果是VARCHAR，改成TEXT
SET GLOBAL max_allowed_packet = 104857600; 单条日志最大100MB
SET GLOBAL innodb_buffer_pool_size = 4294967296; 如果服务器内存≥8GB，设置为4GB
  注意：my.cnf里也要同步添加以上两个全局变量，重启后生效。
• 2. 配置rsyslog自动轮转日志：编辑rsyslog配置文件
  sudo vim /etc/logrotate.d/mayan-security
  添加以下内容（可直接复制）：
  /var/log/mayan/mayan-security.log {
daily
rotate 30
compress
delaycompress
missingok
notifempty
create 0640 mayan mayan
sharedscripts
postrotate
systemctl reload mayan 2>/dev/null || true
endscript
}

修复3：日志防篡改/防删除加固

• 1. 给MySQL日志表加只读锁（仅档管系统专用账号有写入权限）：登录MySQL后执行：
  USE dms_database;
REVOKE ALL PRIVILEGES ON dms_security_log FROM 'dms_user'@'%'; 替换档管系统专用账号和IP
GRANT INSERT, SELECT ON dms_security_log TO 'dms_user'@'%';
• 2. 给本地日志文件加系统只读属性（Linux用chattr +a只能追加不能修改/删除）：
  sudo touch /var/log/mayan/mayan-security.log
sudo chown mayan:mayan /var/log/mayan/mayan-security.log
sudo chattr +a /var/log/mayan/mayan-security.log

第四步：日常验证——确保日志长期完整

每周一用第一步的判定标准抽选1天、5个高权限用户的操作验证，每月做一次本地日志+数据库日志+设备原始访问日志的三方比对。