![日志聚合解决方案](https://linux22.com/image/510824/%E6%97%A5%E5%BF%97%E8%81%9A%E5%90%88%E8%A7%A3%E5%86%B3%E6%96%B9%E6%A1%88.png)
我们目前正在评估我公司的日志聚合解决方案。我知道 Splunk 是最好的解决方案之一,但使用 Splunk 有哪些“缺点”?有没有其他产品可以更好地完成日志聚合?
答案1
我们使用 Splunk(免费版),发现它工作得很好。为了最好地回答您的问题,我需要知道您想要解析哪种日志。您可以指望能够解析 syslog 和许多其他类型的日志文件。但是,对于 Windows 事件日志,您仍然可以聚合,但您需要在 Windows 机器上安装 Splunk。不一定是缺点,但需要考虑。免费版可以让您从任意数量的来源收集数据,但您每天的数据量有限(我认为是 500MB/天)。我不知道企业版具体提供什么,但我记得它有无限量的数据可供索引,多个用户帐户,以及拥有多个服务器进行索引和搜索的能力。
我发现我们的免费版本存在一些缺点,包括保存的搜索和通知。使用它进行搜索非常强大,并且它会根据保存的搜索发出通知,但这是每次搜索的手动过程。它可以自动通过电子邮件发送结果,但这会显示日志的原始格式。为了获得更好的电子邮件通知,我不得不为每个保存的搜索创建脚本,以便以我想要的方式发送电子邮件。我确信我的使用方式可能与它的设计用途不同,但如果您有相同的用途,则需要注意这一点。
答案2
Splunk 非常棒。唯一的缺点是免费版可以解析的日志数量有限。如果您愿意为企业版付费,那么它可能是最好的解决方案。