一句话定义

交换全程审计与日志追溯，指平台对文件交换过程中的访问、操作、传输、检测、身份与管理行为形成七类完整日志，并提供条件查询、详情查看、Excel 导出与保留归档能力。 目标是让企业在被审计或发生纠纷时，能够完整回答”哪个文件、什么时候、谁发的、发给谁、对方取没取”。

一、这个能力解决什么问题

对外文件交换的记录问题，通常不是”没有记录”，而是”记录分散在各处、拼不成一条线”。

典型状态：文件从内部网盘取出（网盘有日志）→ 经邮件或即时通讯发出（邮件系统有日志）→ 或上传到伙伴的 FTP（对方系统有日志，本方没有）→ 对方什么时候取的（没人知道）。四段记录分属四个系统，时间戳对不齐、主体标识不统一、有一段干脆缺失。

于是这几个问题就答不上来：

最后一条尤其常见：文件上传完成不等于对方已经收到并处理。 业务人员传完还要打电话或在群里问一句”收到了吗”，交付责任说不清；真出纠纷时双方各执一词。

这些问题在事后是补不回来的。日志的价值恰恰在于它必须在事情发生的时候就被记下来，事后再从各系统里凑，凑出来的东西没有证明力。

→ 交换过程本身怎么被治理见 文件出入向安全治理

二、怎么工作：七类日志与两级记录

2.1 七类日志

平台把交换过程中的行为拆成七类分别记录：

这七类合起来覆盖的是三个不同的追问方向：文件发生了什么（文件操作、文件传输）、人做了什么（访问会话、身份认证、身份管理）、系统与安全侧发生了什么（系统管理、检测）。

安全事件复盘时这三条线缺一不可——只有文件日志，查不出是谁的账号在什么时候被异常使用；只有认证日志，查不出那次登录之后动了哪些文件。

2.2 协议直连另有两级传输记录

走协议直连的交换，除七类日志外还有按会话与文件两级组织的传输记录与回执记录。

它回答的是普通传输日志答不了的问题：一次会话里传了哪几个文件、每个文件的协商与传输节点时间、对方回送的回执是否通过验签与哈希比对。“传输动作完成”与”对方确认收到”在这里是两个可区分的状态。

→ 协议直连的记录结构与状态口径见 OFTP2 文件收发

2.3 查询、详情与导出

日志支持按条件查询过滤、查看详情、导出为 Excel。

导出这一项在实际使用中比它听起来重要：内审与外部审计要的往往是一份可以带走、可以在表格里筛选与比对的材料，而不是”你登录系统我看一眼”。能不能直接导出，决定了配合一次审计要花半天还是花三天。

2.4 保留与归档

日志的保留时长可配置，支持过期自动清理、定期自动归档、指定归档存储位置，归档文件可按需下载。

这组能力对应的是一个现实约束：合规要求的留存期限往往长于系统的在线存储能力。归档机制让长周期留存与在线查询性能不互相牺牲。

具体的容量规划需要结合实际交换量在项目评估阶段测算。

2.5 统计报表：从记录到趋势

除逐条日志外，平台提供四类统计报表：

• 存储统计 —— 文件存储总量趋势、个人文件存储、伙伴库存储、归档总量与文件包存储用量，可按大小与数量、按天或按月统计。
• 流量统计 —— 用户与 IP 的上传下载流量、用户类型流量、流量趋势与异动发现。
• 协作统计 —— 用户发送文件包统计、文件下载转存记录、文件流出情况统计与异动发现。
• 用户统计 —— 活跃用户统计与清单、用户活跃度、访问压力分析。

其中流量与协作两类的”异动发现”是日常巡检最有价值的入口：逐条翻日志没人做得到，但”某个账号本周的外发量明显偏离常态”这类信号，是能被看见并跟进的。四类报表均支持数据导出。

三、配置与运维要点

3.1 先把保留策略定下来，再上线

保留时长、归档周期与归档存储位置应当在上线前确定，而不是等到磁盘告警时临时处理。定这三项时需要同时问清楚两件事：内部合规要求的最短留存期，以及审计场景实际会回溯多久。

3.2 共享账号会让日志失去意义

日志能追到的最细粒度是账号。如果多个人共用一个账号操作对外交换，那么所有记录都只能落到这个账号上，追溯到此为止。把外部交换的操作账号做到人，是让审计能力真正生效的前提，成本远低于事后补救。

产品支持 AD/LDAP 同步、移动办公平台账号同步与单点登录，用企业既有的身份体系来落实这一点通常最省事。

→ 身份体系怎么接见 与既有业务系统协同

3.3 集成调用也有审计记录

通过 OpenAPI 调用平台能力的行为有调用审计日志。业务系统自动化提交的交换任务同样有据可查，不会因为”是系统发的”就变成一段空白。

3.4 归档不等于备份

归档解决的是在线日志的容量与查询性能问题，它本身不是灾备手段。归档存储位置的可靠性、备份策略与访问控制，应当按企业既有的数据保护要求单独规划。

四、与其他能力的关系

• 它记录的是什么过程 —— 出向五段、入向四段与放行闸的每一步都会留下记录。→ 文件出入向安全治理
• 检测日志的来源 —— 多引擎检测信息聚合进检测日志。→ 外来文件威胁检测与隔离 · 外发内容检查与敏感信息识别
• 审批过程的留痕 —— 审核进度可按时间轴查看，审核动作进入记录。→ 审批流程与既有 OA 集成
• 溯源要靠记录落地 —— 从暗水印识别出原始文件后，需要日志对应到具体的下载行为；明水印与暗水印均为可选组件，需按需选配。→ 外发后的控制与水印溯源
• 按伙伴组织的收发记录 —— 每家伙伴的交换记录都挂在其伙伴档案下。→ 合作伙伴文件安全交换
• 安全评审时会被追问的部分 —— 凭据的使用留痕与操作审计。→ 外部凭据托管的安全设计与评审配合
• 典型场景 —— 供应链交换量大、对接方多的行业，审计压力最集中。→ 汽车与零部件行业文件安全交换 · 集成电路与半导体的内外部文件交换