11.7　審計處理和報告生成

11.7.1　一般要求

11.7.1.1　評估內容

詳見GB/T31168－2014中11.7.1的a）和b）。

11.7.1.2　評估方法

11.7.1.2.1 對a）的評估方法為：

——檢查審計策略與規程、系統設計說明書等相關文檔，查看其是否提供審計處理和審計報告生成的機制；

——檢查審計處理和審計報告生成機制，查看其是否支持實時或準實時的審查、分析和報告，以及對安全事件的事后調查。

11.7.1.2.2 對b）的評估方法為：

——檢查審計策略與規程、系統設計說明書等相關文檔，查看其是否有確保審計處理和報告工具不改變原始審計數據的機制；

——測試審計處理和報告工具，驗證其是否會改變原始審計數據。

11.7.2　增強要求

11.7.2.1　評估內容

詳見GB/T31168－2014的11.7.2。

11.7.2.2　評估方法

11.7.2.2.1 評估方法如下：

——檢查審計策略與規程等相關文檔，查看其是否定義了對審計記錄進行處理的審計類別；

——檢查審計類別，查看其是否包括了用戶身份、事件類型、事件發生位置、事件發生時間以及事件涉及的IP地址和系統資源等；

——檢查審計記錄處理機制，查看其是否可根據審計類別對審計記錄進行處理。