日誌管理功能可以對日誌進行儲存和查詢，以便協助精準定位警示、攻擊溯源、提高響應速度。本文介紹日誌管理功能的基本資料，以及如何使用日誌管理功能。
日誌類型說明
日誌類型 | 使用條件 | 資料來源說明 | 支援的類別及欄位說明 |
Security Center日誌 | 開通日誌管理功能。 | 儲存阿里雲Security Center各功能模組產生的日誌。例如漏洞日誌、安全警示日誌、用戶端事件記錄等。 | |
標準化日誌 | 開通日誌管理功能和 Agentic SOC 功能。 |
| 在標準化規則頁簽，單擊查看標准欄位，即可在標准字段列表面板，查看標準化日誌的分類及欄位說明。 |
計費說明
訂用帳戶模式：按照購買的日誌儲存容量和購買時間長度收取費用，100 美元/1000GB/月（ 1,000 GB 起售，購買步長為 1,000 GB ）。
隨用隨付模式：開通日誌管理隨用隨付後，系統會統計每個自然日的日累計儲存量（ GB ），按照7.2 美元/1000GB，以自然日為單位計費。
重要日誌管理隨用隨付的最小計費單位為 1000GB ，不足 1000GB 的部分，按照 1000GB 計費。例如：若當日用量為 1900GB ，則按 2000GB 收費。
在Security Center控制台進行日誌查詢、匯出等操作時，不會產生其他費用。日誌管理功能將日誌投遞到Log Service後，如在Log Service控制台對日誌資料進行加工、投遞等操作，可能需額外支付該部分費用。
當 Logstore 的計費模式為按使用功能計費時，在Log Service進行資料加工、投遞、從外網存取點流式讀取資料操作，由Log Service收取加工計算費用、資料投遞費用和外網讀取流量費用。更多資訊，請參見Log Service計費概述。
當 Logstore 的計費模式為按寫入資料量計費時，在Log Service進行資料加工、投遞等操作免費，僅在Log Service進行外網資料讀取時將按照Log Service標準方式收費。更多資訊，請參見計費概述。
日誌儲存說明
開通日誌管理功能後，系統會在Log Service自動建立一個專屬 Project （命名為 aliyun-cloudsiem-data-阿里雲帳號 ID-RegionID）和 Logstore ，用於儲存Security Center日誌和標準化日誌。日誌的儲存地區取決於在Security Center控制台左上方選擇的服務所在地區。
選擇中國內地時，日誌預設將儲存在華東 2 （上海）地區。
選擇非中國內地時，日誌將儲存在新加坡地區。
僅在開通日誌管理隨用隨付時出現的彈框中，支援修改日誌儲存地區。通過訂用帳戶方式購買的日誌儲存容量的使用者，不支援修改日誌儲存地區。
可登入Log Service控制台查看專屬 Project 和 Logstore ，請勿刪除該 Project 和 Logstore 。
如果誤刪 Logstore ，對應日誌資料會丟失，已丟失的日誌資料無法恢複。
當投遞任務開啟後，Security Center會自動將日誌投遞到對應日誌庫中。投遞的日誌會一直保留，直到超過設定的儲存天數後，對應日誌資料被刪除。通過訂用帳戶模式購買後，如果日誌儲存空間耗盡，新日誌會停止投遞。在已使用的日誌容量超過總容量的 80%時，Security Center支援發送通知資訊。通知設定的具體操作，請參見設定日誌超量提醒。
開通或關閉日誌管理功能
執行以下操作前，請確認帳號具備以下許可權：
主帳號：預設具備所有許可權。
RAM 使用者：需要被授予Security Center的系統管理權限（如
AliyunYundunSASFullAccess）。
開通日誌管理服務
僅支援通過訂用帳戶或隨用隨付中的一種方式開通日誌管理功能。計費詳情，請參見計費說明。
在左側導覽列，選擇。在控制台左上方，選擇需防護資產所在的地區：中國內地或非中國內地。
已按訂用帳戶模式購買 Agentic SOC 日誌接入流量，或已開通 Agentic SOC 隨用隨付的使用者，左側導覽列入口將變更為。
在日誌管理頁面，單擊訂用帳戶購買或開通隨用隨付。
說明已通過訂用帳戶方式購買 Agentic SOC 日誌接入流量，或已開通 Agentic SOC 隨用隨付的使用者，需在當前頁面右上方，單擊開啟日誌管理隨用隨付，或通過升級購買 Agentic SOC 日誌儲存容量。具體操作，請參見升級或降配。
開通訂用帳戶：在購買頁面，將 Agentic SOC 的是否選購置為是，選擇所需的日誌儲存容量，單擊立即下單並完成支付。
可根據需要選購Security Center的其他功能，具體操作指導，請參見選購指南。
開通隨用隨付：在對話方塊中瞭解計費規則，選擇儲存地區，單擊立即開通並授權。
完成開通後，返回日誌管理頁面，查看服務狀態是否顯示為已開通，日誌資料將在幾分鐘內開始投遞到Log Service。
關閉日誌管理服務
在左側導覽列，選擇。在控制台左上方，選擇需防護資產所在的地區：中國內地或非中國內地。
在日誌管理頁面，確保日誌使用量為 0 GB 。
如果日誌使用量不為 0 ，在當前頁面右上方單擊刪除，等待日誌使用量清空後，再執行下一步。
可通過以下方式關閉日誌管理功能。
訂用帳戶模式
方法一：降配
在概述頁，單擊，進入降配頁面。
在訂單降配頁簽，將 Agentic SOC 地區的Agentic SOC（日誌存儲容量）設定為0 GB。
仔細閱讀並選中Security Center服務合約，然後單擊立即下單。
方法二：退訂已購買的Security Center執行個體：具體操作請參見退訂訂用帳戶服務。
隨用隨付模式：在Security Center控制台的概述頁面的隨用隨付服務地區，關閉日誌管理開關。
重要關閉日誌管理開關後，日誌投遞會自動關閉，對應的 Logstore 會被刪除，刪除的日誌資料不支援恢複。建議謹慎操作。
僅購買日誌接入流量或開通 Agentic SOC 隨用隨付說明
已按訂用帳戶模式購買 Agentic SOC 日誌接入流量或開通 Agentic SOC 隨用隨付，且未購買日誌儲存容量時，可在日誌管理頁面查詢部分標準化日誌。支援查看的日誌是標準化方式為掃描查詢的接入策略所設定的。
這種情境下，不支援投遞和查看Security Center日誌，不支援投遞標準化方式為即時消費的接入策略產生的標準化日誌。購買不同計費項目支援的功能詳情，請參見日誌管理計費概述。
Security Center日誌
開啟投遞
購買日誌儲存容量後， Agentic SOC 預設會開啟所有Security Center日誌類型的投遞。如未購買Security Center對應的增值服務，例如應用防護、惡意檔案檢測等，對應類型的日誌投遞開關將保持關閉。
可在日誌管理頁面，單擊日誌管理設定，查看並設定對應日誌類型的投遞狀態。
日誌管理設定頁面中，基礎設定地區顯示日誌投遞地區為華東 2（上海），日誌投遞語言為中文。日誌儲存管理地區的Security Center日誌頁簽下，主機日誌類型包括：
暴力破解（aegis-log-crack）
進程快照（aegis-snapshot-process）
DNS 請求（aegis-log-dns-query）
帳號快照（aegis-snapshot-host）
用戶端事件（aegis-log-client）
登入流水（aegis-log-login）
網路連接（aegis-log-network）
網路快照（aegis-snapshot-port）
進程啟動（aegis-log-process）
所有投遞開關均為開啟狀態，日誌儲存時間為 180 天。
查詢日誌
在左側導覽列，選擇。在控制台左上方，選擇需防護資產所在的地區：中國內地或非中國內地。
在日誌管理頁面左上方，單擊Security Center日誌，選中需要查看的日誌類型。
設定查詢時間，通過查詢語句檢索日誌，並查看日誌分析資料。
Agentic SOC 日誌管理的日誌查詢方法和Security Center日誌分析功能查詢方法相同，具體操作，請參見日誌分析。
標準化日誌
投遞說明
標準化日誌是 Agentic SOC 消費和分析接入的日誌後生產的具有標準化分類和結構的日誌。標準化日誌包含通過 SPL （ Search Processing Language ）文法映射的標準欄位。不支援對標準化日誌的投遞啟停進行管理，下述情況會開啟標準化日誌的投遞：
當接入原則設定的標準化方式為即時消費時， Agentic SOC 預設會將經過標準化處理的日誌按照標準化分類投遞到對應的 Logstore 中。建立接入策略的時候，會同時建立日誌投遞任務。
建立自訂規則後，自訂規則產生的標準化警示日誌，例如端點檢測與響應警示日誌、防火牆警示日誌等。
如果標準化規則的擴充欄位接入設定為原樣保留，則標準化日誌中還會包含未被映射的原始欄位（以原始 Key-Value 形式打平儲存）。更多資訊，請參見查看日誌格式標準化版（ V2 ）。
查看日誌引用情況
在日誌管理頁面，單擊日誌管理設定。
可在日誌管理設定面板的標準化日誌頁簽，查看標準化結構的被引用次數。
說明被引用次數是接入策略為對應標準化分類和結構，且標準化方式為即時消費的接入策略的數量。
查詢日誌
Agentic SOC 支援以標準化日誌結構為單位搜尋日誌，通過資料集（ StoreView ）查詢多個 Logstore 中的資料並返回結果。關於日誌庫（ Logstore ）查詢與分析的更多資訊，請參見查詢與分析日誌。
日誌儲存管理
修改日誌儲存時間
開啟投遞的日誌預設儲存時間為 180 天，可根據需要修改日誌儲存時間。
在左側導覽列，選擇。在控制台左上方，選擇需防護資產所在的地區：中國內地或非中國內地。
在日誌管理頁面右上方，單擊日誌管理設定。
在日誌管理設定面板，在Security Center日誌或標準化日誌頁簽，單擊日誌儲存時間（ TTL ）操作列的
表徵圖，修改日誌的儲存時間。
減少日誌投遞量
當日誌儲存成本過高時，可通過查看各類日誌的儲存佔比，有針對性地關閉不需要的日誌類型來減少投遞量，從而降低儲存費用。
登入Log Service控制台，找到Security Center專屬 Project（命名格式為
aliyun-cloudsiem-data-{阿里雲帳號ID}-{RegionID}）。在 Logstore 的查詢方塊中，通過按__topic__欄位分類統計，查看各類日誌的數量分布，定位儲存佔比較高的日誌類型（例如登入流水、網路連接、進程啟動等主機日誌）。在日誌管理頁面，單擊日誌管理設定。
在日誌管理設定面板，切換至Security Center日誌頁簽，關閉需要停止投遞的日誌類型的投遞開關。
關閉日誌投遞後，對應類型的日誌將不再投遞到 SLS，已儲存的歷史日誌不受影響，將按原設定的儲存時間到期後自動刪除。建議在關閉前評估安全合規要求，確保關閉的日誌類型不影響等保審計或其他合規需求。
擴容或刪除儲存容量
可在頁面，查看當前的日誌使用量和總容量。可按需擴容或清空日誌儲存空間。
單擊擴容，可購買更多日誌儲存容量。
請確保日誌儲存空間充足。如果日誌儲存空間被佔滿，將無法寫入新的日誌。
單擊刪除，可清空所有儲存空間。清空日誌大約需要 0~24 小時，請耐心等待。
警告清空儲存空間後將無法複原日誌資料，請務必謹慎使用清空功能。建議先將日誌匯出進行備份後，再清空儲存空間。
常見問題
為什麼我無法開通日誌管理隨用隨付？
以下任一原因可導致無法開通日誌管理隨用隨付。
原因一：已通過訂用帳戶方式購買 Agentic SOC-日誌儲存容量或日誌分析。
解決方案：
原因二： Agentic SOC 為 1.0 架構。
解決方案：
說明如果決定暫時不升級到 Agentic SOC 2.0 架構，且需要使用日誌管理功能時，可通過訂用帳戶方式購買 Agentic SOC-日誌儲存容量。
原因三：在 2024 年 04 月 26 日（包含）前通過訂用帳戶方式購買 Agentic SOC 日誌儲存容量，使用 Agentic SOC 相關功能。
該部分使用者在升級至 Agentic SOC2.0 架構後，保有和原先購買量一致的 Agentic SOC 日誌儲存容量（訂用帳戶模式），可正常使用日誌管理功能。如需將訂用帳戶模式轉化為隨用隨付，請參考原因一的解決方案。關於 Agentic SOC 架構升級的更多資訊，請參見【通知】 Agentic SOC 升級。
Security Center日誌分析和日誌管理功能有什麼區別？
日誌分析和日誌管理功能都是Security Center提供的安全日誌查詢和分析能力。日誌管理和日誌分析相比，除了提供Security Center各模組（漏洞、安全警示、用戶端事件等）日誌的投遞和分析能力外，還支援投遞並儲存經過 Agentic SOC 標準化處理的日誌。如有等保合規或其他安全日誌儲存和分析需求，建議優先選擇日誌管理功能。
日誌分析適用於快速查看Security Center日誌的情境。
日誌管理適用於需要長期儲存、合規審計及查詢標準化日誌和部落格的情境。
下表介紹這兩個功能的具體差別：
功能名稱 | 支援的日誌類型 | 計費方式 | 儲存地區管理 | 日誌儲存時間管理 |
日誌管理（推薦） |
|
| 預設為華東 2 （上海）。 僅支援開通隨用隨付時在彈框中支援修改儲存地區。 | 支援在日誌管理設定面板，設定日誌儲存時間。 |
Security Center日誌 | 訂用帳戶 | 預設為華東 1 （杭州），不支援修改。 | 預設為 180 天，不支援修改。 |