集中式日志记录是个好主意吗？

Question

现在，我的组织有一个由 10 多个组件组成的解决方案，有些组件每个线程都有一个日志文件。由于文件每小时轮换一次，因此跟踪所有这些都是一件苦差事。

将所有日志记录集中到特定机器（使用 rsyslog 或类似的东西）是个好主意吗？难道我不会用简单来换取忙碌吗？对于这种高容量用例，是否有很好的日志查看器？

顺便说一下，我们是微软的直营店。

感谢您的回复！

Answer 1

集中式日志记录的一大优势是：

• 如果您的一台机器遭到入侵，并且日志被更改以隐藏该事实，您的中央日志服务器上仍将有一个未篡改的副本。

另一个是：

• 在我的情况下，我的工作站上还有一个专用监视器，它运行在中央日志服务器之外，实时显示优先级“警告”或更高级别的任何日志，以便我可以在出现任何问题时立即处理。（希望在最终用户通知之前:)）。如果没有中央服务器，这是很难做到的。

Answer 2

我建议你看看Splunk。

我目前正在生产中，有 30 多个网络设备登录到它——将日志放在一个地方非常有用，我可以编写自己的查询、运行预设报告等。