DDoS 事件结束后，单看一份访问日志往往无法还原攻击过程：上游设备可能已经丢弃流量，应用服务器看到的只是到达本机的请求。做好DDoS攻击溯源日志的采集、留存与分析，要把网络、边界防护和业务系统的记录按时间关联，同时区分“流量来源”与“攻击者身份”。IP 地址可能对应共享出口、代理或被利用的设备，不能仅凭一条记录认定责任主体。
先明确各层日志能回答什么
路由器或防火墙日志适合确认连接、丢弃动作和策略命中情况；流量采样记录可观察通信方向、端口和流量变化；WAF日志及 Web 服务器访问日志能补充 URL、响应状态、请求时间等应用信息。若攻击流量在上游被清洗，本地设备可能没有完整包记录，应尽早向服务提供方申请相关时段的处置记录。
采集范围不宜只盯着源 IP。至少记录时间戳、设备或主机标识、接口或服务、源与目标地址、协议和端口、动作结果，以及请求标识等可用字段。应用日志若包含账号、Cookie 或请求正文，应评估是否确有调查必要，避免把敏感数据无差别写入集中存储。
按步骤建立可核验的证据链
- 列清数据源。记录边界防火墙、清洗设备、负载均衡器、WAF、Nginx 或 Apache 访问日志，以及相关主机的系统事件。写明每类日志的负责人、位置、格式和可能的缺口。
- 统一时间基准。检查设备时区、时间同步状态和日志时间精度。保留时区信息；发现设备时钟偏差时，记录偏差值及校正时间，不要事后静默改写原始记录。
- 尽快集中副本。将日志通过受控的集中采集通道发送到独立存储，避免仅保存在可能被攻击或重启的业务主机上。采集端记录接收时间、来源设备和传输失败情况。
- 封存并校验。事件处置结束后导出相关时间段的原始文件，保留格式和元数据；可对文件计算 SHA-256 摘要并记录生成时间、操作人和存储位置。摘要便于发现后续变化，但不能单独证明内容真实，仍需保留采集过程记录。
- 复核与分析。按统一时区排列事件，关联流量变化、设备动作和应用响应。对照正常业务时段，区分攻击流量、探测请求和误报；分析结论注明依据、时间范围及尚未确认之处。
留存期限与权限要分开设计
留存多久没有适用于所有组织的统一答案，应结合适用规则、业务风险、调查周期和存储能力确定。可将在线检索与长期封存分层：例如保留数周至数月的近期日志用于排查，重要事件材料另按内部制度或适用要求保存更久。30至90天可作为容量规划的讨论区间，而非固定合规期限；保留越久，越要考虑访问控制、加密和删除机制。
权限按岗位和任务授予：值班人员可查询必要字段，调查人员可申请导出，管理员负责配置但不应默认拥有无限制读取业务内容的权限。为查询、下载、删除和权限变更保留审计记录；外部服务商协助调查时，限定数据范围、授权时段和交付方式，并在任务结束后回收权限。
分析时避免把线索当结论
一次流量峰值只能说明出现异常，不能直接证明某个地址背后的真实操作者。比较源地址分布、连接或请求特征、目标服务和防护动作，并检查采集是否丢包、日志是否轮转覆盖。若只有 WAF日志，结论通常局限于到达 WAF 的应用请求；若有边界设备与上游记录，才能补足被本地应用日志遗漏的部分。报告应明确证据边界，不把相关性写成因果关系。
归根结底，DDoS攻击溯源日志的采集、留存与分析不是单纯延长保存时间，而是让日志来源可说明、内容可校验、访问可追责、结论可复核。
常见问题
没有完整数据包，能否溯源？
可以开展有限分析。结合流量摘要、设备动作和应用日志还原时间线，但应说明缺少完整载荷带来的限制。
源 IP 能直接作为攻击者证据吗？
不能。它是通信线索，可能涉及共享网络、代理或受控设备，需要与其他记录交叉核验。
日志摘要校验是否足够？
不够。摘要可帮助发现文件变化，还应记录采集来源、导出过程、操作人员和存储访问情况。
谁可以查看原始日志？
仅应由获授权且有明确工作需要的人员查看，并保留查询、导出和权限变更记录。
