異常登入早就發生了，只是 log 散在各處

凌晨的那筆登入，不是第一筆

假設有一家六十人的金融科技新創。某天一位工程師發現自己的帳號在凌晨有登入紀錄，但他確定那時在睡覺。IT 開始調查：SSO 的紀錄保存三十天，郵件系統依方案而定，密碼管理工具的紀錄要另外匯出，雲端服務的存取紀錄根本沒開。花了好幾天，才拼出一段不完整的時間線；最早的可疑登入，比發現時早了好幾週，部分紀錄已經過期。

先說清楚，這是示意情境，不是真實事件，公司與數字都是為了說明而設。但出事後的第一個問題幾乎都一樣：「什麼時候開始的？」接著就是拼圖，每一塊都放在不同的盒子裡，有些盒子在你需要的時候已經被清空。

這篇要講的只有一件事：紀錄的價值不在「有」，而在找得到、對得上，而且有人在看。

紀錄散落，風險在哪裡

第一層是保存期限。很多系統的預設保存期限只有幾天到一個月，等到發現異常，關鍵的那幾筆已經被自動刪掉了。

第二層是紀錄沒開。不少服務的稽核紀錄預設不開，或要付費方案才有。沒開的系統，出事時連「有沒有被碰過」都答不出來。

第三層是時區和格式。每個系統的時間格式、時區不同，拼時間線很耗時，也容易把順序排錯。

最後是沒人看。紀錄存了，但沒有告警，也沒人定期檢視，等於只是在幫攻擊者計時。

這篇示意情境裡，被用掉的是什麼

這是示意情境；下表列的是這類事件裡被濫用、但取得方式往往查不清楚的存取權，讓你知道為什麼紀錄斷掉會直接變成「不知道」。

兩列都標成缺口，不是因為懶得查，而是能回答的紀錄已經不在，或從來沒開。

能證明的、只能推論的

這篇是觀點文，情境是示意的，所以能證明的只有官方文件寫明的事；情境裡的經過只能算推論，不知道的就寫成缺口。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的六步流程。

第一步，盤點紀錄來源和保存期限。 每個重要系統記下：有沒有稽核紀錄、預設保存多久、怎麼匯出、要什麼方案。以 Microsoft Entra 為例，免費版 7 天、P1／P2 30 天，要更久就另外封存；升級也補不回過去。

第二步，先把紀錄打開。 雲端平台的存取紀錄、程式碼平台的稽核紀錄，很多都要手動啟用。今天沒開，未來出事那天就是空白。

第三步，定期匯出封存。 沒有 SIEM 的話，每週或每月把關鍵紀錄匯出，存到有權限控管的儲存空間，至少保留一年（依法規和合約調整）。

第四步，統一時區。 時間線一律換算成同一時區，並註明時區。

第五步，先設少量但重要的告警。 例如管理員登入、異地登入、大量下載、停用兩步驟驗證。多數平台都有內建的郵件通知；告警取名固定一個格式，例如 alert-admin-login-m2，信件主旨一眼就看得出是哪一條在叫。

第六步，每月看一次。 指定一人，每月花半小時看管理員帳號的活動。

什麼時候不需要買工具

幾十人的公司，「打開紀錄、延長保存、定期匯出、幾條關鍵告警」就能解決最常見的「出事時沒紀錄」問題。SIEM 的價值在跨系統關聯分析和即時告警，但需要有人維運和調整規則。

市面上大致分四類。身分平台和雲端內建：Microsoft Entra 的登入和稽核紀錄、Azure Monitor 封存；Google Workspace 和各雲端平台的稽核紀錄（保存期限依產品和方案而定）。開源 SIEM：Wazuh，可以自架，也有付費雲端服務。商用 SIEM：各大廠商的 SIEM 和日誌平台。各應用的事件串流：例如 1Password 的企業密碼管理頁說，可以把登入、項目存取和稽核事件即時傳輸到 SIEM；這類功能負責「送出去」，分析還是要靠接收端。

限制也要一起看：SIEM 要有人調規則、處理告警，否則就是一個昂貴的儲存空間；資料量越大，費用和儲存成本越高；可以匯入的來源取決於各應用是否提供 API 或串接。選的時候問三件事：有沒有維運人力（沒有人看，就先做匯出和封存，不急著上 SIEM）、法規和合約要求保存多久與保存哪些紀錄、既有平台是 Microsoft 還是 Google 生態系，內建能做到多少。

這篇提到的項目要花多少錢

這篇的方法以人力為主，來源沒有列授權與儲存價格，表裡的金額大多是估算或未公開，照實標出來。

最貴的不是儲存空間，是事後拼了好幾天、仍然拼不完整的那條時間線。

你可以學到什麼

站在攻擊者那一側看，保存期限是一個公開的倒數計時。他不必清除痕跡，只要安靜待得比你的保存期限久，最早的那一步就會自己消失；沒開紀錄的系統，則是從頭到尾都沒有人在看的房間。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。