EventLog Analyzer 中的全面日志收集

日志管理的第一步是收集日志数据。日志收集可能是一项具有挑战性的任务，因为某些系统如防火墙、入侵检测系统和入侵防御系统的 EPS（每秒事件数）会生成大量日志数据。为了实时收集和处理日志数据，无论日志数据量和网络设备数量多少，组织都需要一个强大的日志收集机制。

每个网络都有不同的系统和环境，会生成各种日志格式，如事件日志、syslog 和其他应用程序日志。路由器日志提供的信息与防火墙日志不同。此外，有些日志无法直接收集，例如位于 DMZ 中的日志。总之，日志收集器需要足够灵活，以适应所有网络设备和应用程序。

基于代理和无代理的日志收集

EventLog Analyzer 可以从多个日志源收集日志，如 Windows 系统、Unix/Linux 系统、应用程序、数据库、防火墙、路由器、交换机和 IDS/IPS。Windows 设备收集日志不需要代理，而 syslog 设备主要为了负载均衡目的需要代理。因此，EventLog Analyzer 设计支持基于代理和无代理的日志收集机制，以满足网络中所有设备和应用程序的需求。EventLog Analyzer 的架构具有可扩展性，最多可支持 20,000 个日志源。

在开始使用日志管理软件之前，请确保配置每个设备的日志收集设置。这样，您只保存真正需要的日志，从而节省存储空间。您可以使用本地组策略或 syslog 服务来配置日志收集设置。

通用日志收集

EventLog Analyzer 还支持通过其 Universal Log Parsing and Indexing (ULPI) 技术实现通用日志收集，该技术使安全管理员能够解读和分析任何来源和格式的日志数据。收集的日志数据被集中聚合，并在单一控制台中展示，涵盖跨地点的日志源。

自定义日志收集

EventLog Analyzer 支持自定义日志收集，意味着它可以从 Windows 和 Linux 计算机上的文本文件中收集事件。有些应用程序不遵循标准的日志服务——Windows 事件日志和 syslog，而是以文本文件形式记录信息。当这些日志被收集时，会被解析为为该特定日志数据创建的自定义字段。