日志溯源补救方法

日志留存不足时，溯源工作并不能直接宣告失败，补救的核心思路是从日志侧转向资产侧、流量侧和外部线索侧，用环境证据和关联推理重建攻击路径，留存缺失不等于无迹可寻,只是需要换一套打法，日志留存不足怎么溯源：先分清缺的是哪一种日志日志留存不足不是单一问题，操作系统日志、应用日志、网络设备日志、安全设备日志四类日志的缺失……