A09:2025 - 安全日志和监控失效

# 未记录关键安全事件
- 登录失败
- 权限变更
- 敏感数据访问

# 攻击发生后数周才发现
# 缺少异常行为检测

# 攻击者删除或修改日志
# 未保护日志完整性

# 记录安全相关事件
log_security_event("login_failed", user_id, ip_address)
log_security_event("permission_changed", user_id, old_role, new_role)

# 配置告警规则
- 5 次登录失败 → 告警
- 异常数据访问 → 告警

# 日志发送到独立服务器
# 使用 WORM (Write Once Read Many) 存储