系统日志（syslog）

功能与统一布局

「系统日志」分组下的每个页面对应一类事件台账，全部服务端分页，布局统一：

• 副标题显示「共 N 条记录」；每页条数下拉（20 / 50 / 100）。
• 上一页 / 下一页 +「第 X / Y 页」。
• 「登录事件」页额外提供来源筛选（全部 / 系统登录 / 面板登录）。
• 「外部报警」页的级别列渲染为彩色标签（info 灰 / warning 琥珀 / critical 红）。

16 类日志模块

日志	内容	主要列
登录事件	系统登录 + 面板登录全量（成功 / 失败）	时间 / 用户 / IP / 结果 / 分类
文件变更	FIM 检测的变更 / 删除 / 重置	时间 / 路径 / 动作 / 详情
站点后门	后门扫描命中与处置	时间 / 站点 / 文件 / 特征 / 状态
MySQL 异常	指标超阈、宕机与恢复；认证失败突增、破坏性语句、攻击来源超阈（ban_source）、封禁失败（ban_firewall_fail）	时间 / 实例 / 指标 / 当前值 / 阈值 / 详情
MySQL 备份	每次备份的结果	时间 / 实例 / 库 / 大小 / 状态
SQLite 异常	碎片率 / 文件大小 / 文件骤降 / journal·page_size 变化 / 完整性检查异常	时间 / 实例 / 指标 / 当前值 / 阈值 / 详情
SQLite 备份	每次 VACUUM INTO 备份的结果	时间 / 实例 / 大小 / 状态 / 详情
关键操作	高危系统操作（关机、建删用户、装服务、清审计、sudo…）	时间 / 类别 / 用户 / 详情
指标超限	CPU / 内存 / 磁盘 / 带宽 / IO 超阈值	时间 / 指标 / 当前值 / 阈值
自检事件	自检发现的可疑变化	时间 / 文件 / 动作 / 详情
上报记录	看门狗每次 Webhook 上报的结果	时间 / 类别 / 摘要 / 结果
外部报警	外部系统推送进来的报警	时间 / 来源 / 级别 / 标题 / 详情
端口守护	端口 down / 恢复事件	时间 / 目标 / 状态 / 延迟 / 详情
页面保活	页面 down / 恢复事件	时间 / 目标 / 状态 / 状态码 / 响应字节 / 延迟
防火墙封禁	全部封禁 / 解封动作	时间 / IP / 来源 / 原因 / 状态
缓存清理	每次清理动作	时间 / 目录 / 文件数 / 释放大小

审计日志

「审计日志」独立页面（同组侧栏入口），固定四列：时间 / 用户 / 动作 / 详情，记录面板内的全部敏感操作：

• 登录 / 退出、修改密码、端口变更、服务重启。
• FIM 目标增删与基线重置、webshell 目录 / 模式 / 处置、MySQL 实例增删改。
• 封禁 / 解封、端口规则增删、看门狗与外部报警配置变更、目标管理动作（portguard / pagekeep）等。
• 系统自动动作（如 pagekeep.down、guardian 重启）同样入审计。

数据保留

全部业务表（含日志与审计）默认保留 90 天（audit.retention_days，可在「系统设置 → 数据保留」在线调整 7–3650，次日清理生效），后台每日自动分批清理超期数据 —— 无需人工维护，也不会无限膨胀。删除只释放空闲页供复用，库文件可用「数据保留」页的 VACUUM 按需物理收缩；封禁台账中「封禁中」记录为安全数据不自动删除。

关键操作审计细节

• Windows（事件日志，首次启动回溯 24 小时）：关机重启（1074 / 6005 / 6006 / 6013）、账号创建 / 启用 / 禁用 / 删除（4720 / 4722 / 4725 / 4726）、重置密码（4724）、组成员变更（4728 / 4729 / 4732 / 4733）、服务安装（7045）、计划任务创建 / 删除（4698 / 4699）、审计日志清除（1102）。
• Linux（tail /var/log/auth.log、/var/log/secure，可配置路径）：sudo 提权、useradd / userdel / usermod、passwd 修改、su 失败。
• 高危操作（删除用户 / 重置密码 / 审计清除 / 服务安装）看门狗 critical 告警，其余 warning，5 分钟去重。