孙惟皓，凌宗南，陈炜忻

(北京神州绿盟信息安全科技股份有限公司，北京 100089)

1 需求描述

在中国人民银行、中国银监会的监管要求下，各银行对信息化的安全建设不断加大投入,部署的安全防护设备也日益增多，各类安全设备每天产生海量的告警日志，所存储的日志量每天可达到GB数量级。

针对这些庞大的运维告警日志，存在难以有效地进行管理和分析的问题，对于当前的安全运营管理人员和团队来说亟待解决。银行数据中心，IT运维领域涉及的运维数据涵盖应用日志、系统日志、性能数据、网络数据、流量数据、资产配置数据、数据库日志、漏洞管理数据等。上述信息的数据量大，格式差异大且分散在不同的服务器中，如何搭建日志智能分析平台，将数据集中整合、加工处理并应用和展现在运维管理中，进而提升安全运维能力、提高运维服务质量和效率，是本文探索研究的重点。

2 技术路线选型

传统SOC/SIEM虽都具备日志审计与分析的功能，但是随着攻防对抗的加剧，其架构已经不能满足目前的需要，下面就传统SOC/SIEM与基于大数据日志智能分析平台在架构、功能方面进行对比，如表1所示。

表1 传统SOC/SIEM与新一代日志智能分析对照表

因此，基于大数据的日志智能分析平台是目前主流的解决方案，在架构、性能、功能、扩展性上都具有明显的优势。

3 日志智能分析平台的设计实现

日志智能分析平台逻辑架构上分为资源层、数据采集管控层、大数据层、服务层、业务层，如图1所示。……