上一篇
阿里云服务器日志分析
云 服务器 日志分析涵盖Web访问、DNS解析等多种类型，支持实时采集与延迟采集，助力安全监控、性能优化及故障排查
日志采集与存储规范
- 专属配置要求：开通日志分析功能后，系统默认创建名为sas-log-阿里云账号ID-地域ID的Project及同名Logstore，该存储空间仅用于接收特定安全相关日志，不支持写入其他类型数据或修改属性信息，若误删会导致日志丢失且无法正常推送新数据。
- 版本权限差异：不同版本的云安全中心支持的日志类型不同，企业版和旗舰版可采集主机、安全、网络三大类的16种子类日志；而防病度版和高级版仅支持主机与安全两大类的12种日志，需根据业务需求选择合适的服务版本。
- 合规性建议：依据《网络安全法》，日志至少需存储180天，推荐为每台服务器配置40GB的存储容量以满足基础需求，部分场景（如CDN实时日志）可实现延迟不超过3分钟的数据更新，适用于需要即时响应的分析任务。
支持的日志类型及应用场景
| 大类 | 子类日志名称 | 采集周期/方式 | 主要用途 |
|---|---|---|---|
| 网络日志 | Web访问日志 (sas-log-http) | 数据延迟采集 | 分析用户行为模式、识别异常流量、优化网站性能 |
| DNS解析日志 (sas-log-dns) | 检测DNS截持或污染等异常解析行为 | ||
| 本地DNS日志 (local-dns) | 监控内部网络中的DNS查询活动 | ||
| 网络会话日志 (sas-log-session) | 跟踪网络连接状态与数据传输过程，辅助发现潜在威胁 | ||
| 主机日志 | 登录流水日志 (aegis-log-login) | 实时采集 | 审计用户登录行为，识别暴力免费尝试 |
| 网络连接日志 (aegis-log-network) | 实时采集 | 记录服务器网络交互详情，排查异常外联 | |
| 进程启动日志 (aegis-log-process) | 实时上报 | 监控新进程创建事件，检测恶意软件活动 | |
| 暴力免费日志 (aegis-log-crack) | 实时采集 | 捕获失败的认证尝试，定位弱密码风险点 | |
| 账号快照日志 (aegis-snapshot-host) | 周期采集/手动触发 | 对比历史账号状态变化，发现未授权变更 | |
| 网络快照日志 (aegis-snapshot-port) | 静态分析网络端口占用情况 | ||
| 进程快照日志 (aegis-snapshot-process) | 统计分析资源占用较高的进程 | ||
| DNS请求日志 (aegis-log-dns-query) | 实时采集 | 追踪服务器主动发起的域名解析请求 | |
| 客户端事件日志 (aegis-log-client) | 实时采集 | 管理云安全代理的在线状态 |
CDN实时日志增强能力
当结合阿里云CDN使用时,其实时日志功能可通过SLS实现高效的用户访问数据分析：
- 低延迟优势：日志数据从产生到可用仅需约3分钟，远快于传统离线处理模式；
- 预制报表体系：包括基础服务质量指标、错误溯源、热门资源排行及用户画像等维度，支持按域名或URI钻取细节；
- 自定义策略开放：允许用户编写查询语句进行深度探索，满足个性化分析需求。
操作实践指南
- 控制台路径：登录阿里云官网→进入“云服务器ECS”控制台→选择目标实例→通过左侧导航栏访问“日志管理”模块；
- 数据导出方式：支持按时间范围筛选并导出CSV格式文件，便于离线进一步处理；
- 可视化工具集成：对于大规模日志场景，可采用Filebeat+Kafka+Logstash+Elasticsearch栈接入数据，并通过Kibana实现交互式分析。
相关问题与解答
Q1：为什么无法删除云安全中心自动创建的Project和Logstore？
A：这些资源专门用于存储安全相关的日志数据，若被删除将导致日志推送失败且历史数据永久丢失，系统设计上禁止修改其核心配置以保证数据的完整性和安全性。
Q2：如何区分不同版本的云安全中心提供的日志分析功能？
A：旗舰版和企业版支持最全面的16种子类日志（涵盖主机、安全、网络）；高级版和防病度版则限定为12种，仅包含主机与安全相关日志，具体差异可通过阿里云官网的计费页面查询。
