本地 云
下载PDF
此功能适用于 EventLog Analyzer、Log360 和 Log360 Cloud

# 系统要求

最后更新于：2025年9月12日

本页面内容

- 硬件要求
- 一般建议
- 虚拟机基础设施
- CPU 与 RAM
- 磁盘
- 网络浏览器
- 数据库
- Windows 代理要求
- 操作系统
- 安装服务器

本节列出了安装和使用EventLog Analyzer的最低系统要求。

## 硬件要求

日志管理解决方案对资源要求较高，选择合适的硬件对确保最佳性能至关重要。

下表根据流量类型标注了建议的硬件要求。

| 低流量 | 正常流量 | 高流量
--- | --- | --- | ---
处理器内核 | 6 | 12 | 24
RAM | 16 GB | 32 GB | 48 GB*
IOPS | 150 | 750 | 1500 *
磁盘空间 | 1.2 TB | 3 TB * | 4 TB *
网卡容量 | 1 GB/s | 1 GB/s | 10 GB/s
CPU架构 | 64位 | 64位 | 64位

注意

- 上述数值为近似值。建议根据上表所述配置细节，搭建与生产环境相似的测试环境。可根据实际数据流和数据量对系统要求进行精细调整。点击此处访问《调优指南》。
- 若需更高IOPS，可采用RAID或SSD方案。
- 高流量场景指定的内存配置旨在支持实时日志处理及2TB数据规模的检索操作。
- 跨多日检索（>2TB数据量）时，所需内存可按公式计算：(索引数据量GB / 60) + 16GB。

请使用下表确定您实例的流量类型。

日志类型 | 大小（以字节为单位） | 类别 | 日志单元
--- | --- | --- | ---
低流量（EPS） | 正常流量（EPS） | 高流量（EPS）
Windows | 900 | Windows | 300 | 1500 | 3000
Linux、HP、pfSense、Juniper | 150 | 类型 1 系统日志 | 2000 | 10000 | 20000
思科、Sonicwall、华为、Netscreen、Meraki、H3C | 300 | 类型 2 Syslogs | 1500 | 6000 | 12000
巴拉库达、飞塔、Checkpoint | 450 | 类型 3 Syslogs | 1200 | 4000 | 7000
Palo Alto、Sophos、F5、Firepower及其他系统日志 | 600 | 类型 4 系统日志 | 800 | 2500 | 5000

注意

- 单服务器安装最多可处理3000个Windows日志，或上表中各类日志对应的高流量值。
- 对于未在表中列出的日志类型，请根据日志大小选择对应类别。例如SQL Server日志：当字节大小为900字节且EPS为3000时，应归类为高流量。
- 若总日志流量超出单节点处理能力，或日志存储需求超过2TB，建议添加额外的日志处理器节点。
  - 每个新增日志处理器节点均可提升EPS处理能力与存储容量，确保系统性能和可扩展性。
  - 新增日志处理器节点可处理最多3000个Windows EPS，或表中列出的单一日志类型的高流量EPS。

  技术分布场景

  - Windows EPS 扩展
    - 单节点最大支持量：3000 EPS。
    - 若总流量=4500 EPS，流量将按以下方式分配至各节点：
      - 节点1：约2250 EPS。
      - 节点 2：约 2250 EPS。
  - Syslog EPS 扩展（类型 1 Syslog）
    - 单节点最大支持量：10,000 EPS。
    - 若总流量=15,000 EPS，则流量在节点间分配：
      - 节点 1：约 7500 EPS。
      - 节点 2：约 7500 EPS。
  - 基于存储的扩展
    - 单节点最大支持：2TB日志存储空间。
    - 若存储需求为5TB，日志将分布于各节点：
      - 节点1：约1.7TB。
      - 节点2：约1.7TB。
      - 节点3：约1.6TB。

  通用建议：

  若您的每秒事件处理量（EPS）或存储需求超过现有节点容量，则需添加额外的日志处理节点。所需节点数量取决于环境的EPS速率及存储增长率，可根据需求进行水平扩展。

- 若已启用高级威胁分析及大量关联规则，建议选择更高一级的配置带宽。

## 一般建议

#### 虚拟机基础设施

- 为运行事件日志分析器的虚拟机分配100%内存/CPU资源。与同一主机上的其他虚拟机共享内存/CPU可能导致内存/CPU资源不足，从而影响事件日志分析器的性能。
- 采用厚配置方案，因薄配置会增加I/O延迟。在VMware环境中，请选择"厚配置，立即清零"模式，因"延迟清零"模式性能较低。
- 不建议启用虚拟机快照功能，因主机需通过增加读写操作在多个数据块中复制数据，导致I/O延迟上升和性能下降。

#### CPU与内存：

- 服务器CPU利用率应始终保持在85%以下以确保最佳性能。
- 为实现最佳性能，服务器内存需预留50%空间供Elasticsearch堆外使用。

#### 磁盘：

- 磁盘延迟对事件日志分析器的性能影响显著。建议采用直接连接存储（DAS），其吞吐量应与固态硬盘相当，具备近零延迟和高吞吐量特性。企业级存储区域网络（SAN）的运行速度可能优于固态硬盘。

#### 网页浏览器：

经测试，EventLog Analyzer支持以下浏览器及版本，且显示分辨率需至少为1280x1024：

- Microsoft Edge
- Firefox 4 及更高版本
- Chrome 8 及更高版本

#### 数据库：

事件日志分析器可使用以下数据库作为后端数据库：

随产品捆绑

- PostgreSQL

外部数据库

- Microsoft SQL 2012 及以上版本

请注意配置事件日志分析器所需的MS SQL数据库硬件要求：

RAM | CPU | IOPS | 磁盘空间
--- | --- | --- | ---
8GB | 6 | 300-500 | 300-500 GB

#### Windows代理程序要求

为确保Windows代理正常运行，请满足以下要求。

下表根据流量类型列出了建议的硬件要求。

| 低流量 (300) | 正常流量 (1500) | 高流量 (3000)
--- | --- | --- | ---
处理器核心 | 4 | 6 | 12
RAM | 8 GB | 12GB | 16 GB
可用磁盘空间 * | 20 GB | 20 GB | 20 GB
CPU架构 | 32/64 位 | 32/64 位 | 32/64 位

若配置了离线日志收集功能，则可用磁盘空间必须至少比代理设置中数据目录的最大配置值大1 GB。

注意

为避免代理安装设备出现高内存占用，请确保 evtx 日志的总大小相当于 20 分钟的日志数据。可通过首条和末条日志条目之间的时间差计算得出（时间戳可在 Evtx 通道中找到）。

要修改日志大小，请打开事件查看器 >右键单击所需通道> 日志属性，然后修改最大日志大小。

#### 操作系统

EventLog Analyzer 可安装在运行以下操作系统及版本的计算机上：

评估版版本要求

- Windows 8 及以上版本（或）Windows Server 2012
- Ubuntu 14 及以上版本/ CentOS 7 及以上版本/ Red Hat 7 及以上版本/ Opensuse 15 及以上版本

生产环境版本要求

- Windows Server 2022/2019/2016/2012 R2/2012
- Ubuntu 14 及以上版本/ Red Hat 7 及以上版本/ CentOS 7 及以上版本

Windows与Linux平台的Eventlog Analyzer对比

下表列出了在 Windows 和 Linux 上安装事件日志分析器实例时的所有差异。

功能 | Windows | Linux
--- | --- | ---
域和工作组发现 | 可用 | 不适用
设备发现 | 可用 | 不适用
Windows设备和Windows应用程序日志收集 | 支持无代理、基于代理及第三方syslog转发器 | 支持基于代理和第三方 syslog 转发器
自动推送和升级Windows代理 | 可用 | 不适用
IIS 站点发现与配置 | 可用 | 不适用 注：通过导入方式支持IIS日志收集
SQL Server作为后端数据库 | 可用 | 不适用
MS SQL 发现与配置 | 可用 | 不适用 注：通过Windows代理支持MS SQL日志收集
MySQL 发现与配置 | 可用 | MySQL 发现功能仅支持 Linux 设备。Windows 机器的 MySQL 日志收集可通过导入实现。
工作流 | 所有操作均可用 | 与Windows环境相关的操作（如进程操作、服务操作、AD操作和Windows操作）不可用。
AD用户登录 | 可用 | 不适用
智能卡登录与配置 | 可用 | 不适用

#### 安装服务器

- SIEM解决方案对资源需求较高。建议为其配置专用服务器以实现最佳性能。
- 事件日志分析器采用 Elasticsearch 技术。为提升性能，Elasticsearch 进程需使用堆外内存。该内存由操作系统管理，并在必要时自动释放。

## 快速链接

操作指南 知识库 故障排除

### 操作指南

- 如何使用ADManager Plus查看归档的审计报表并管理归档设置？
- 无法在ADManager Plus中应用许可文件
- ADManager Plus升级失败
- 文件可能已损坏或检查可用磁盘空间
- 无法启动ADManager Plus

### 知识库

- 如何使用ADManager Plus查看存档的审计报表并管理存档设置？
- 无法在 ADManager Plus 中应用许可文件
- ADManager Plus升级失败
- 文件可能已损坏，或检查可用磁盘空间
- 无法启动 ADManager Plus

### 故障排除

- 如何使用ADManager Plus查看存档的审计报表并管理存档设置？
- 无法在 ADManager Plus 中应用许可文件
- ADManager Plus升级失败
- 文件可能已损坏，或检查可用磁盘空间
- 无法启动 ADManager Plus