H3C SecCenter CSAP-SA-AK+日志

可以设置时间 

H3C SecCenter CSAP-SA-AK+ 的日志存储时长，主要受硬盘空间和自动清理策略两个因素影响，通常可在“系统设置”或“存储管理”中进行配置。

⚙️ 在哪查看和设置日志存储？

根据设备型号和软件版本，操作路径可能略有不同，建议从以下两个路径中查找：

• 路径一：系统 -> 系统设置 -> 存储管理

  • 这是最直接的路径。在这里你可以：

    1. 查看当前的存储空间使用情况。

    2. 设置存储空间阈值和清理策略，例如当磁盘使用率达到多少百分比时开始自动清理。

• 路径二：系统 -> 数据备份

  • 此路径主要用于配置系统自身的备份，但页面内通常会显示磁盘的告警阈值等信息。

  • 注意：当磁盘容量达到95%时，系统将无法进行备份和还原。

📖 自动清理策略如何工作？

日志存储并非单纯按“天数”计算，而是结合了空间和时间两个维度。

• 空间策略（主要）：系统会优先根据磁盘使用率来清理日志。例如，默认空间阈值可能为 90%。当磁盘使用率达到该阈值时，系统会自动删除最早的日志，直到使用率降至设定的“清理至”水平。

• 时间策略（辅助）：你可以设置一个“保存周期”（例如180天）。即使磁盘空间未满，一旦日志保存时间超过此周期，也会被清理。

• 两者关系：系统会同时参考这两个条件，只要满足其中任何一个，就可能触发自动清理。

📚 相关文档与支持

• 官方操作手册：最详细的配置说明，建议查阅H3C官网对应你设备型号的《操作手册》。

• H3C技术社区（知了社区）：在 zhiliao.h3c.com 搜索你的设备型号（如 CSAP-SA-AK），可以找到许多用户分享的配置经验和FAQ。

• H3C官方知识库（KMS）：访问 kms.h3c.com，搜索 CSAP-SA-AK 可找到官方的技术文档和案例。

一、日志只保存 15 天原因 + 修改存储时长路径（CSAP-SA-AK）
1、为什么当前只留存 15 天
CSAP 日志清理是双阈值触发机制，满足任意一个就自动删除最早日志：
时间阈值：原始日志最大保存天数（你当前被设置成 15 天）；
空间阈值：磁盘使用率达到 95%，优先删老旧日志；
大概率是前期人为把原始日志时限改成 15 天，或是磁盘空间占满被迫快速清理日志。
2、修改日志保存时长（Web 路径，2 套界面版本通用）
新版 UI（E6101、主流新版本）
使用管理员账号登录 CSAP Web 管理页面；
左侧菜单：配置中心 → 全局设置 → 数据清理设置；
页面分为两大配置：
原始日志保存天数：Syslog、防火墙 / 交换机原始日志，范围 30~1095 天（最大 3 年），等保一般设 180 天；
分析日志 / 攻击日志保存天数：告警、关联分析日志，默认 1080 天；
磁盘使用率阈值：默认 95%，磁盘占用达到该比例自动清旧日志；
将「原始日志保存天数」改成 180（等保合规标准），点击保存。
老旧 UI 界面
路径：配置 → 全局配置 → 数据清理设置，配置项完全一致。


数据清理配置界面
3、补充配套优化（避免改完天数依旧存不久）
查看磁盘使用率：系统管理 → 硬件管理 → 磁盘管理，如果磁盘长期＞85% 占用，必须扩容硬盘，否则磁盘爆满依旧会强制删日志；
开启日志异地备份：配置中心→全局设置→日志自动备份，把日志定时备份到 FTP/SFTP 服务器，就算本地磁盘清理，备份日志永久留存；
区分日志类型存储策略：
普通设备 syslog：180 天；
安全告警、入侵事件日志：建议保留 365 天以上。
二、日志查看的全部入口
1、实时原始 Syslog 查看（防火墙 syslog 在此查看）
左侧菜单：日志中心 → 原始日志检索
筛选条件：日志源 IP（F1090 防火墙 IP）、时间范围、日志类型 = Syslog；
可导出日志、按关键字检索五元组、策略编号。
2、安全策略告警日志（防火墙放行 / 阻断策略日志）
日志中心 → 安全日志，命中安全策略产生的日志全部在此。
3、防火墙会话日志（会话新建、删除日志）
日志中心 → 流量日志，前提防火墙已开启 session log enable create delete 并上报 syslog。
4、历史归档备份日志
若配置了异地备份：配置中心 → 日志备份管理 → 备份文件检索，可调取数月前已被本地清理的日志。
三、官方文档获取渠道（CSAP-SA-AK 全套手册）
渠道 1：新华三官方文档中心（最权威）
打开官网文档中心：https://www.h3c.com/cn/Service/Document_Software/Document_Center/
搜索关键词：CSAP-SA-AK，可下载：
《SecCenter CSAP-SA-AK Web 配置指导》完整配置手册；
《CSAP-SA 用户 FAQ》（日志存储、清理常见问题）；
《故障处理手册》《部署案例》。
渠道 2：知了社区（免费查阅 + 工程师答疑）
知了社区 https://zhiliao.h3c.com
发帖搜索 CSAP-SA-AK 日志存储配置，可获取实测配置案例、PDF 文档。
渠道 3、设备内置在线文档
登录 CSAP 页面，右上角「问号帮助图标」，内置电子版配置手册，随时查阅。
渠道 4：400 售后索要完整文档
拨打 400-810-0504，报备设备型号 CSAP-SA-AK，要求客服发送对应版本全套运维手册至邮箱。
四、常见问题补充
修改保存天数后，已经被删掉的 15 天前日志无法恢复，只能后续新日志按照新周期存储；
即便设置保存 180 天，如果日志量巨大、磁盘撑满，系统依然会提前删除老旧日志，扩容磁盘是根治方案；
防火墙 Syslog 日志不全排查：确认防火墙 info-center 正常推送 syslog 514 端口至 CSAP，防火墙时区与 CSAP 时区保持一致。
精简落地步骤
进入【配置中心→全局设置→数据清理设置】，原始日志改成 180 天保存；
检查磁盘使用率，过高则扩容硬盘 + 开启 FTP 日志备份；
在【日志中心→原始日志检索】筛选防火墙 IP 查看 syslog；
官网文档中心下载对应版本配置手册留存。