Simple Log Service achemine les journaux vers des systèmes de gestion des informations et des événements de sécurité (SIEM). Cette fonctionnalité vous permet d'importer tous les journaux réglementaires, d'audit et autres journaux connexes d'Alibaba Cloud dans votre centre d'opérations de sécurité (SOC).
Termes
SIEM : système de gestion des informations et des événements de sécurité, tel que Splunk ou IBM QRadar.
Splunk HEC : Splunk HTTP Event Collector, une interface qui reçoit les journaux via HTTP ou HTTPS.
Suggestions de déploiement
Système d'exploitation : Linux, par exemple Ubuntu x64.
-
Matériel :
CPU : 2,0+ GHz × 8 cœurs.
Mémoire : 16 Go, 32 Go recommandés.
Réseau : contrôleur d'interface réseau (NIC) 1 Gbps.
Espace disque : 2 Go minimum, 10 Go+ recommandés.
-
Paramètres réseau :
La bande passante entre votre environnement et Alibaba Cloud doit être supérieure au taux de génération des journaux. Sinon, les journaux ne peuvent pas être consommés en temps réel. Par exemple, 1 To de journaux bruts par jour à un taux uniforme avec des pics de 2x, compressés à 5:1, nécessite environ 4 Mo/s (32 Mbps).
Python : ce guide utilise Python. Pour Java, utilisez Consommer les journaux à l'aide de groupes de consommateurs.
SDK Python
Utilisez un interpréteur CPython standard.
Installez le SDK SLS pour Python : python3 -m pip install aliyun-log-python-sdk -U.
Détails d'utilisation : Guide d'utilisation.
Bibliothèque de consommation
La bibliothèque de consommation est une méthode avancée de consommation de journaux qui utilise des groupes de consommateurs pour abstraire et gérer les consommateurs. Elle gère automatiquement l'équilibrage de charge et les basculements, ce qui vous permet de vous concentrer sur la logique métier.
Un Logstore contient plusieurs shards. La bibliothèque de consommateurs attribue les shards aux consommateurs selon les principes suivants :
Chaque shard est attribué à un seul consommateur.
Un seul consommateur peut recevoir plusieurs shards.
Lorsqu'un nouveau consommateur rejoint un groupe de consommateurs, les attributions de shards sont rééquilibrées automatiquement. Les principes d'attribution restent les mêmes et le processus est transparent pour l'utilisateur.
La bibliothèque de consommateurs enregistre des points de contrôle, permettant aux programmes de reprendre à partir de la dernière position après une panne sans duplication de la consommation.
Spark Streaming, Storm et Flink Connector sont tous construits sur la bibliothèque de consommateurs.
Méthodes d'acheminement
Créez un programme qui utilise des groupes de consommateurs SLS pour la consommation en temps réel et envoie les journaux à votre SIEM via HTTPS ou Syslog.