网络Portal认证日志审计：公安要求留什么、留多久、怎么查

网络Portal认证上线后，日志不是「可选项」，而是法律底线。知识库里日志审计与公安合规专题把这套要求拆得很细，但很多人只记得「要留日志」，不清楚留什么、留多久、查的时候查什么。下面按合规背景、能力分工和边界三块说明。

网络Portal认证产生的日志，法律底线在哪

三层结构要记牢：《网络安全法》第二十一条要求日志留存不少于六个月；公安部82号令要求互联网接入服务提供者记录并留存用户上网日志不少于60天；网络安全等级保护2.0要求集中日志收集、存储和安全事件审计。对跑网络Portal认证的场所来说，认证记录、上网时长和流量记录是必须留的，运营者不留存可能面临警告、限期整改，严重的要追责。

V7内置能力，和独立日志系统的边界

知识库特别强调一条能力边界：V7基础日志能力不等同独立日志审计系统能力。V7内置的是用户认证记录、Portal日志、上网时长或流量记录，并能推送对接公安32号令平台（如任子行），满足基础合规。如果需要全流量7层应用日志（微信、QQ、URL、DNS、GPS位置这类深度行为），那是独立日志系统的事，靠DPI深度解析和PB级存储。判断原则：只满足基础合规，V7内置够；要深度溯源，需叠加日志系统。

留多久、查多快，有具体数字

留存天数在V7里可配置，支持60天、180天、自定义。日志系统白皮书给过存储估算公式：一天存储量(G)等于最高流量速率(G/s)乘20，总容量再乘存储天数和1.3冗余。查询方面，10亿级别检索约5到20秒，支持按条件导出。但要注意知识库的指标边界：秒级查询、PB级、10亿级检索这类指标必须绑定硬件规格、部署架构和数据规模，不能脱离条件对外承诺。

给个存储数字感受量级：白皮书示例里最高流量17G/s时，日存储约340G，60天就要约26TB。这意味着日志合规不是「开个开关」那么轻，它要占真实磁盘，且随流量线性增长。所以规划网络Portal认证合规时，存储天数和磁盘容量要一起算，不能只喊「留6个月」却没给空间。V7内置认证记录推送解决的是「往哪送」，独立日志系统解决的是「存多少、查多细」。

对外表达的两个不得

日志审计能力边界规则写死：不得承诺「绝对合规」，应表述为「按已确认监管要求与项目实施范围满足审计追溯需求」；不得把认证系统基础日志直接说成深度行为审计系统能力。所以跟客户谈网络Portal认证合规时，准确说法是「我们能提供审计链路能力，具体合规结论结合当地监管和项目边界确认」。该留的留、该分的边界分清楚，既专业也不踩雷。

最后强调等保2.0这一层：它要求集中日志收集、存储和安全事件审计，是从制度上升为法律约束的。对高校、政企这类等保对象，网络Portal认证产生的认证日志只是其中一类，还要和全网日志一起进集中审计。对外讲合规时，把「网络安全法加82号令加等保2.0」三层一起说，才完整。一句话总结：网络Portal认证的日志审计，基础合规由V7内置认证记录推送兜住，留6个月是底线；深度行为审计交给独立日志系统；对外讲合规时，留什么、留多久、查多快都要绑定项目条件，不空口承诺。

知识库把日志类型边界分得很清：认证日志记录会话、账号、时间等基础认证事件；NAT日志记录地址端口映射，用于溯源链路补证；上网行为日志记录访问行为维度，粒度取决于系统与部署范围。网络Portal认证内置主要覆盖前两类，深度行为日志靠独立系统。做合规方案时先把这三类说清楚，客户才知道「留什么」具体指什么，而不是笼统一句「我们有日志」。

对外讲网络Portal认证合规时，留存时长、字段范围、查询流程都必须按当地监管和项目要求确认，不能把白皮书里的示例数字当通用承诺。指标要绑定硬件规格、部署架构、数据规模，这是知识库反复强调的边界。