日志留存六个月，是《网络安全法》的硬性要求，也是等保测评必查项。但"开了日志"不等于"留存合格"，【测评要查的是：采集全、存得住、查得到】。
对照三个标准自查：【采集全】——服务器系统日志、应用日志、数据库日志、防火墙和WAF等安全设备日志、运维操作日志，五类都要接进来，漏一类就扣分；【存得住】——集中存储而非散落在各服务器本地，本地磁盘容易被清理也容易被攻击者删除，存储周期不少于六个月；【查得到】——能按时间、IP、账号快速检索，有条件的做关联分析。
建设要点四条：优先部署日志审计系统，统一接收各设备日志转发；时间同步（NTP）一定要配，【各设备时间不一致，日志对不上时间线，等于白存】；日志传输走内网专线或加密通道；云上系统可直接用云日志服务，配置好保留期限即可，成本低不少。
常见失分场景提醒：日志开了但本地轮转七天的、只存了安全设备漏了应用日志的、时间没同步的，这三种都不算合格。
河南早办科技有限公司在整改阶段提供日志审计选型和策略配置指导，帮企业把六个月留存真正落地。日志审计做扎实，等保测评和事件溯源都有底气。