5款 Syslog集中系统日志常用工具对比推荐

一、为何要集中管理 Syslog？

Syslog 由 Linux/Unix 系统及其他网络设备生成，广泛分布于整个网络。因其包含关键信息，可用于识别网络中的恶意活动，所以必须对其进行持续监控。将 Syslog 归集到一个中央存储库中，能让日志的搜索和分析变得更为便捷。以下介绍一些可高效监控 Syslog 的工具。

以下是一些可以高效监控 Syslog 的工具：

Rsyslog

Rsyslog 是一款快速日志处理系统，它采用标准 BSD 协议，支持来自不同日志源的日志收集。

优势：Rsyslog 通过 TCP、RELP、SSH 和 TLS 协议来确保日志存储和传输的可靠性和安全性。Rsyslog 能够解析每条日志消息，并通过电子邮件向 IT 管理员发送警报。

劣势：无法对日志消息进行分类、标记或关联，以提供深入的分析。
Rsyslog 使用一个名为 ommail 的邮件模块，该模块仅支持直接模式的 SMTP 协议。即便只是像 “磁盘故障 ” 这类看似微不足道的小缺陷，Rsyslog 也会以电子邮件报表的形式进行反馈，并且会按照预先设定的时间间隔持续发送邮件。因此，建议谨慎设置时间间隔，以避免邮件过量，导致重要的警报邮件被忽略。

Syslog-ng

Syslog-ng 是一个支持通用日志收集的 Syslog 管理解决方案。

优势：
它可以高效地收集来自网络设备的日志，并将其发送到本地或远程服务器，而无需在主机上部署大量代理。还能使用 Windows 事件收集器（WEC） 工具收集 Windows 事件日志。
Syslog-ng 通过 TCP、RLTP、SSL 和 TLS 协议来确保日志存储和传输的安全性和可靠性。它可以处理、规范化和关联日志数据，并将其转发至 Hadoop、MongoDB 和 Elastic Search 等平台。
劣势：
虽然日志管理解决方案可以分析和解释这些关联日志，以生成报表和警报，但 Syslog-ng 本身并不具备日志分析功能。它只能通过提供结构化数据，辅助日志管理解决方案加快分析速度。

Logstash

Logstash 和 Syslog-ng 类似，都是日志管理解决方案。

优势：它可以收集、解析和过滤来自多个来源的日志数据，例如 设备的 Syslog、Apache 日志、Windows 事件日志、AWS 平台日志 等。Logstash 能够利用内置解析器和插件模块对任何格式和复杂度的日志数据进行索引和解析。
此外，Logstash 还能通过 IP 地址定位各种主机的地理位置。索引和标准化后的日志可被发送至搜索引擎（如 Elastic Search），以便通过简单查询进行日志搜索，或发送至日志管理解决方案，以分析日志并识别异常情况及潜在威胁。

Fluentd

Fluentd 是另一款日志管理解决方案，与 Logstash 具备类似功能。

优势：它同样能收集、解析和过滤日志数据，并通过 统一日志机制 将日志数据转换为 JSON 格式。索引和标准化后的日志数据可以被发送至 搜索工具（Elastic Search）、日志分析工具（Nagios）或存储服务（Amazon S3）。Fluentd 支持大量插件，可自定义日志数据的输入来源和输出目标。

劣势：该工具依赖于第三方分析工具来分析日志并触发异常警报。

卓豪 EventLog Analyzer

卓豪EventLog Analyzer 是一款一体化的日志管理解决方案，支持syslog日志服务器管理)，同时也可从网络中的各种日志源（如交换机、防火墙、路由器、服务器、数据库、应用程序、云平台和设备）收集日志。收集到的日志会被聚合、解析、索引和标准化，以便更轻松地进行日志解读，并支持简单的文本查询来搜索日志数据。
主要优势：
✔ 日志分析与报表：生成直观的日志活动报表，提供全网日志可视化。
✔ 用户和实体行为分析（UEBA）：监测网络内异常用户行为，预测潜在安全威胁。
✔ 高级威胁分析：识别并告警恶意 IP，防范外部攻击。
✔ IT 合规性审查：持续监控网络，确保符合所有IT 合规性要求。
✔ 实时告警：通过内置或自定义警报规则，实时向 IT 安全管理员发送电子邮件/SMS通知，预警即将发生的攻击。

EventLog Analyzer 还具备日志关联分析功能，能够识别不同网络设备生成的、但属于同一事件的日志，从而提供更完整的安全视图。是一款非常实用的syslog日志管理工具。