日志聚合解决方案

Question

我们目前正在我公司评估日志聚合解决方案。我知道 Splunk 是最好的解决方案之一，但是使用 Splunk 有哪些“负面影响”？还有什么可以更好地进行日志聚合的吗？

Answer 1

我们使用 Splunk（免费版本），并且发现它运行良好。为了最好地回答你的问题，我需要知道你想要解析什么样的日志。您可以信赖能够解析系统日志和许多其他类型的日志文件。但是，对于 Windows 事件日志，您仍然可以聚合，但需要在 Windows 计算机上安装 Splunk。不一定是负面的，但需要考虑。免费版本可让您从任意多个来源收集数据，但每天的数据量有限（我认为是 500MB/天）。我不确切知道企业版提供什么，但我想我记得它有无限量的数据要索引、多个用户帐户以及拥有多个服务器用于索引和搜索的能力。

我发现免费版本的一些缺点是保存的搜索和通知。使用它进行搜索非常强大，并且它会根据保存的搜索发出通知，但这是每个搜索的手动过程。它可以自动通过电子邮件发送结果，但这会显示日志的原始格式。为了获得更好的电子邮件通知，我必须为每个保存的搜索创建脚本，以便按照我想要的方式发送电子邮件。我确信我使用它的方式可能与它的设计用途不同，但如果您有相同的用途，则需要注意这一点。