用途：该安全模式用于记录实体（Entity）对系统执行的操作，形成审计追踪，从而支持问责、不可否认、事件调查和安全监控。它针对的问题是：实体否认曾执行某操作，或无法确定发生了什么操作、由谁执行、何时执行。
主要能力与组件：模式包含实体（执行需记录的操作）、系统（处理实体请求）、记录器（将操作写入日志存储）、日志存储（持久化日志条目）和日志监控器（分析日志异常）。数据元素包括 action（操作）、principal（执行者身份）、timestamp（时间）、outcome（成功/失败）和 context（附加上下文）。
应记录的内容：认证尝试（成功与失败）、授权决策（授予与拒绝）、敏感数据访问、管理操作、安全配置变更、会话事件（创建与终止）。每条事件应包含谁、做了什么、何时（同步时间，最好 UTC）、来源（IP、位置、系统）、结果和上下文（不含敏感数据）。
不应记录：密码或凭据、会话令牌、加密密钥、完整信用卡号、超出必要的个人数据、敏感业务数据。
安全考虑：日志完整性（防篡改、检测未授权修改、考虑仅追加存储、签名或哈希日志条目）；日志保密性（限制访问、静态与传输加密）；日志可用性（系统韧性、优雅处理失败、不让日志失败中断业务、对日志系统问题告警）；集中化日志（聚合多源、关联分析、防本地篡改、安全传输）；日志保留（定义期限、满足合规、安全删除、必要时归档）；时间同步（使用 NTP、包含时区、优先 UTC）。
日志流程：实体→[操作]→系统；系统→[记录(操作, 主体, 时间, 结果)]→记录器；记录器→[存储]→日志存储；日志监控器→[分析]→日志存储；日志监控器→[告警]→安全团队（若异常）。
实施指南：使用结构化格式（JSON、键值）、跨系统一致模式、包含关联 ID；日志级别 ERROR（需关注的安全失败）、WARN（可疑但未确定恶意）、INFO（正常安全事件）、DEBUG（详细排障，不用于生产）；性能上采用异步日志、缓冲批量写入、监控开销；监控告警包括实时分析关键事件、基于阈值的告警（如失败登录）、攻击模式检测。
常见事件与级别：登录成功 INFO（主体、源 IP、时间）；登录失败 WARN（尝试用户、源 IP、失败原因）；授权拒绝 WARN（主体、操作、资源）；管理操作 INFO（主体、操作、目标、参数）；安全配置变更 INFO（主体、变更内容、旧/新值）；会话超时 INFO（主体、会话时长）。
实施清单：记录所有认证事件、所有授权拒绝、敏感操作；日志中无凭据；时间同步（NTP）；日志防篡改；限制日志访问；定义保留策略；配置监控告警；安全传输到集中存储。
相关模式：认证、授权、数据验证（均为需记录的事件来源）。
限制：资料未提供具体代码实现、安装命令、收费或平台信息，暂未提供。