安全事件日志该保留多久：按调查路径而非存储习惯决定

日志保留周期应支持回看漏洞暴露、补丁部署和异常活动的关键时间段，而不是只按存储空间决定。

识别调查所需时间

从公告发现、资产确认、变更实施、观察期和复盘倒推。不同系统的认证日志、网络日志和应用日志应根据其调查价值分别规划。

验证日志是否可用

除了确认留存天数，还要抽查时间同步、字段完整性、检索权限和导出过程。无法关联主体或时间的日志，会显著降低事件证据价值。

日志证据组织可参考安全事件日志核验；事件节点记录见安全事件时间线怎么写。