系统要求

• 上述数值为近似值。建议根据上表所述配置细节，搭建与生产环境相似的测试环境。可根据实际数据流和数据量对系统要求进行精细调整。点击此处访问《调优指南》。
• 若需更高IOPS，可采用RAID或SSD方案。
• 高流量场景指定的内存配置旨在支持实时日志处理及2TB数据规模的检索操作。
• 跨多日检索（>2TB数据量）时，所需内存可按公式计算：(索引数据量GB / 60) + 16GB。

• 单服务器安装最多可处理3000个Windows日志，或上表中各类日志对应的高流量值。
• 对于未在表中列出的日志类型，请根据日志大小选择对应类别。例如SQL Server日志：当字节大小为900字节且EPS为3000时，应归类为高流量。
• 若总日志流量超出单节点处理能力，或日志存储需求超过2TB，建议添加额外的日志处理器节点。
  • 每个新增日志处理器节点均可提升EPS处理能力与存储容量，确保系统性能和可扩展性。
  • 新增日志处理器节点可处理最多3000个Windows EPS，或表中列出的单一日志类型的高流量EPS。

  技术分布场景

  • Windows EPS 扩展
    • 单节点最大支持量：3000 EPS。
    • 若总流量=4500 EPS，流量将按以下方式分配至各节点：
      • 节点1：约2250 EPS。
      • 节点 2：约 2250 EPS。
  • Syslog EPS 扩展（类型 1 Syslog）
    • 单节点最大支持量：10,000 EPS。
    • 若总流量=15,000 EPS，则流量在节点间分配：
      • 节点 1：约 7500 EPS。
      • 节点 2：约 7500 EPS。
  • 基于存储的扩展
    • 单节点最大支持：2TB日志存储空间。
    • 若存储需求为5TB，日志将分布于各节点：
      • 节点1：约1.7TB。
      • 节点2：约1.7TB。
      • 节点3：约1.6TB。

  通用建议：

  若您的每秒事件处理量（EPS）或存储需求超过现有节点容量，则需添加额外的日志处理节点。所需节点数量取决于环境的EPS速率及存储增长率，可根据需求进行水平扩展。

• 若已启用高级威胁分析及大量关联规则，建议选择更高一级的配置带宽。

为避免代理安装设备出现高内存占用，请确保 evtx 日志的总大小相当于 20 分钟的日志数据。可通过首条和末条日志条目之间的时间差计算得出（时间戳可在 Evtx 通道中找到）。

要修改日志大小，请打开事件查看器 >右键单击所需通道> 日志属性，然后修改最大日志大小。