icon-pdf下载 PDFlhs-panel
lhs-panel点击此处展开

系统要求

本节列出了安装和使用 EventLog Analyzer 的最低系统要求。

硬件要求

日志管理解决方案是资源密集型的，选择合适的硬件对确保最佳性能起着重要作用。

下表列出了基于流程类型的建议硬件要求。

低流量正常流量高流量
处理器核心数61224
内存16 GB32 GB48 GB *
IOPS1507501500 *
磁盘空间1.2 TB3 TB *4 TB *
网卡带宽1 GB/s1 GB/s10 GB/s
CPU 架构64 位64 位64 位
注意：
  • 上述数值为近似值。建议搭建一个与生产环境类似的测试环境，并采用上表所述的配置细节。可根据具体的流量和数据规模对系统需求进行微调。点击此处访问调优指南。
  • 若需更高的 IOPS，可使用 RAID 或 SSD。
  • 为高流量场景指定的 RAM 旨在处理最多 2TB 数据的实时日志处理和搜索操作。
  • 对于跨多天的搜索（>2TB 的数据），所需 RAM 可按如下计算：（索引数据大小（GB）/ 60）+ 16 GB。

请使用下表确定您的实例的流类型。

日志类型大小（字节）类别日志单位
低流量（EPS）正常流量（EPS）高流量（EPS）
Windows900Windows30015003000
Linux, HP, pfSense, Juniper150类型 1 Syslog20001000020000
Cisco. Sonicwall, Huaweii, Netscreen, Meraki, H3C300类型 2 Syslog1500600012000
Barracuda, Fortinet, Checkpoint450类型 3 Syslog120040007000
Palo Alto, Sophos, F5, Firepower 以及其他 Syslog600类型 4 Syslog80025005000
注意:
  • 单机安装的 Server 最多可处理 3000 条 Windows 日志，或上述表中针对每种日志类型给出的任一高流量值。
  • 对于上表未提及的日志类型，请根据日志大小选择合适的类别。例如，对于 SQL Server 日志，当字节大小为 900 字节且 EPS 为 3000 时，应视为高流量。
  • 如果组合流量高于单个节点可处理的上限，建议实施 分布式部署。
  • 如果使用了高级威胁分析和大量关联规则，建议选择更高一档。

一般建议

虚拟机基础设施

  • 将 100% 的 RAM/CPU 分配给运行 EventLog Analyzer 的虚拟机。与同一主机上的其他虚拟机共享 RAM/CPU 可能导致 RAM/CPU 资源饥饿，并可能对 EventLog Analyzer 的性能产生负面影响。
  • 采用厚置备，因为精简置备会增加 I/O 延迟。对于 VMware，请选择厚置备（即时置零），因为延迟置零的性能较低。
  • 不建议启用虚拟机快照，因为主机会在多个块中复制数据，增加读写次数，从而导致 I/O 延迟增加和性能下降。

CPU 与内存：

  • Server CPU 利用率应始终保持在 85% 以下，以确保最佳性能。
  • 为了获得最佳性能，服务器 RAM 的 50% 应保持空闲，以供 Elasticsearch 进行堆外使用。

磁盘：

  • 磁盘延迟会极大影响 EventLog Analyzer 的性能。建议使用直接附加存储（DAS），其吞吐量应与 SSD 相当，并具备近乎零的延迟和高吞吐量。企业级存储区域网络（SAN）可能比 SSD 更快。

Web 浏览器：

EventLog Analyzer 已测试可在至少 1280x1024 的显示分辨率下支持以下浏览器及其版本：

  • 微软 Edge
  • Firefox 4 及更高版本
  • Chrome 8 及更高版本

数据库：

EventLog Analyzer 可以使用以下数据库作为其后端数据库。

随产品附带

  • PostgreSQL

外部数据库

  • Microsoft SQL 2012 及以上

请注意为 EventLog Analyzer 配置 MS SQL 数据库时的硬件要求：

内存CPUIOPS磁盘空间
8GB6300-500300-500 GB

Windows 代理程序要求

要使 Windows 代理正常运行，请确保满足以下要求。

下表列出了基于流程类型的建议硬件要求。

低流量 (300)正常流量 (1500)高流量 (3000)
处理器核心数4612
内存8 GB12GB16 GB
可用磁盘空间 *20 GB20 GB20 GB
CPU 架构32/64 位32/64 位32/64 位

如果配置了离线日志收集，则可用磁盘空间必须比 Agent 设置中数据目录配置的最大大小至少大 1 GB。

注意：为防止在安装了代理程序的设备上出现内存（RAM）占用率过高的情况，请确保 evtx 日志的总大小相当于 20 分钟的日志数据。可通过首条和末条日志条目的生成时间差进行计算（时间戳可在 Evtx 通道中找到）。

要修改日志大小，打开 事件查看器 > 右键单击所需的通道 > 日志属性，然后修改 最大日志大小。

操作系统

EventLog Analyzer 可安装在运行以下操作系统及其版本的计算机上：

评估的版本要求

  • Windows 8 及以上（或）Windows Server 2012
  • Ubuntu 14 及以上/ CentOS 7 及以上/ Red Hat 7 及以上/ Opensuse 15 及以上

生产环境的版本要求

  • Windows Server 2022/ 2019/ 2016/ 2012 R2/ 2012
  • Ubuntu 14 及以上/ Red Hat 版本 7 及以上/ CentOS 7 及以上

Windows 与 Linux 上的 Eventlog Analyzer 对比

下表列出了在 Windows 和 Linux 上安装时 Eventlog Analyzer 实例的所有差异。

功能WindowsLinux
域和工作组发现可用不适用
设备发现可用不适用
Windows 设备和 Windows application 日志收集支持无代理、基于代理以及第三方 syslog 转发器支持基于代理以及第三方 syslog 转发器
自动推送和升级 Windows 代理可用不适用
IIS 站点发现与配置可用

不适用

注意：IIS 日志收集可通过导入实现
将 SQL Server 用作后端数据库可用不适用
MS SQL 发现与配置可用

不适用

注意：MS SQL 日志收集可通过 Windows 代理实现
MySQL 发现与配置可用仅对 Linux 设备支持 MySQL 发现。从 Windows 机器收集 MySQL 日志可通过导入完成。
工作流所有操作均可用与 Windows 环境相关的操作，例如进程操作、服务操作、AD 操作和 Windows 操作，不可用。
AD 用户登录可用不适用
智能卡登录 & 配置可用不适用

安装服务器

  • SIEM 解决方案对资源要求很高。建议提供专用服务器以获得最佳性能。
  • Eventlog Analyzer 使用 Elasticsearch。Elasticsearch 进程预计会利用堆外内存以获得更好的性能。堆外内存由操作系统管理，并会在必要时释放。

其他 Elasticsearch 节点建议：

硬件最低推荐
基础频率2.4 GHz3 GHz
核心数1216
内存6464
磁盘空间1.2 TB1.5 TB
IOPS1500*1500*

    本页内容

    版权 © 2020，ZOHO 公司。保留所有权利。

    获取下载链接