EventLog Analyzer系统要求
本节列出了安装和使用EventLog Analyzer（分布式和独立版）的系统要求。
硬件
日志管理解决方案，选择合适的硬件在确保最佳性能方面发挥着重要作用。
下表根据流程类型表示建议的硬件要求。
| |
低性能 |
一般性能 |
高性能 |
| 处理器内核 |
6 |
12 |
24 |
| 内存 |
16 GB |
32 GB |
64 GB |
| 磁盘类型 |
固态硬盘 |
固态硬盘 |
固态硬盘 |
| 磁盘空间 |
1.2 TB |
3 TB |
4 TB |
| 网卡容量 |
1 GB/s |
1 GB/s |
10 GB/s |
| CPU架构 |
64位 |
64位 |
64位 |
注意：上述值是近似值。建议您先在测试环境中进行测试，其中包含上表中提到的设置细节。根据确切的流量和数据大小，可以微调系统要求。
使用下表来确定实例的流程类型。
| 日志类型 |
大小（以字节为单位） |
类别 |
日志单元 |
| 低性能（EPS） |
正常流量（EPS） |
高性能（EPS） |
| Windows |
900 |
Windows |
300 |
1500 |
3000 |
| Linux、HP、pfSense、Juniper |
150 |
1型系统日志 |
2000 |
10000 |
20000 |
| 思科，Sonicwall，华为，Meraki，H3C |
300 |
2型系统日志 |
1500 |
6000 |
12000 |
| Fortinet |
450 |
3型系统日志 |
1200 |
4000 |
7000 |
| Palo Alto、Sophos、Firepower和其他系统日志 |
600 |
4型系统日志 |
800 |
2500 |
5000 |
笔记：
- 单台ELA服务器最多可以处理3000个Windows日志或上表中每种日志类型中提到的任何高性能值。
- 对于上表中未提及的日志类型，请根据日志大小选择适当的类别。例如，在SQL Server日志中，当字节大小为900字节，EPS为3000时，它应该被视为高性能。
- 如果组合流量高于单个节点可以处理的流量，建议采取分布式部署。
- 如果使用了高级威胁分析和大量相关规则，建议选择下一个更高的频段。
一般性建议：
虚拟机基础设施
- 将100%的RAM/CPU分配给运行EventLog Analyzer的虚拟机，与同一主机上的其他虚拟机共享内存/CPU可能会导致RAM/CPU不足，并可能对EventLog Analyzer的性能产生负面影响。
- 不建议启用VM快照，因为主机通过增加读写在多个块中复制数据，从而增加IO延迟并降低性能。
CPU和RAM：
- 服务器CPU利用率应始终保持在85%以下，以确保最佳性能。
- 50%的服务器RAM应保持空闲状态，以便立即使用Elasticsearch以获得最佳性能。
磁盘：
- 磁盘延迟极大地影响了EventLog Analyzer的性能。建议采用与SSD性能相当的直连存储（DAS）。企业存储区域网络 (SAN) 可能比 SSD 更快。
网页浏览器
EventLog Analyzer已经过测试，以支持以下至少具有1024x768显示分辨率的浏览器和版本：
- Microsoft Edge
- Firefox 4及更高版本
- Chrome 8及更高版本
数据库
EventLog Analyzer可以使用以下数据库作为其后端数据库
与产品捆绑在一起
外部数据库
操作系统
EventLog Analyzer可以安装在运行以下操作系统和版本的机器上：
- Windows 7及更高版本，以及Windows Server 2008及更高版本
- Linux：Red Hat 8.0及更高版本/所有版本的RHEL、Mandrake/Mandriva、SUSE、Fedora、CentOS、Ubuntu、Debian
安装服务器
- SIEM解决方案是资源密集型的。建议提供专用服务器以获得最佳性能。
- Eventlog Analyzer使用Elasticsearch。弹性搜索过程预计将利用非堆内存来提高性能。离堆内存由操作系统维护，并在必要时释放。
其他建议：
| 硬件 |
最小值 |
推荐 |
| 基本速度 |
2.4 GHz |
3.0 GHz |
| 内核 |
12 |
16 |
| RAM |
64 |
64 |
| 磁盘空间 |
1.2 TB |
1.5 TB |
| 磁盘 |
固态硬盘 |
固态硬盘 |
