背景介紹
信息時代越來越發達，黑客或者惡意員工攻擊系統、盜取數據獲得的利益也越來越大。然而單點單面的防護已經無法有效的保護系統安全、降低數據泄露的風險了。最近兩年，網絡信息安全形勢愈加嚴峻，安全事件頻發且非常嚴重。
全量數據采集
數據驅動安全，現在的安全事件已經不再是單一的安全設備所能監測和防御的，往往需要結合多個設備和業務系統的數據，進行分析對比才能定位。因此，日志服務首先要確保全量數據的采集，包含網絡設備、操作系統、安全設備、數據庫、中間件以及各業務系統等。
根據FileEye M-Trends 2018報告，企業組織的攻擊從發生到被發現，一般經過了多達101天，其中亞太地區問題更為嚴重，一般網絡攻擊被發現是在近498天（超過16個月）之后。另一方面，根據報告，企業組織需要花費長達57.5天才能去驗證這些攻擊行為。因此，全量數據采集和分析的難點，不僅僅在于數據散亂、類型多樣，還要保障海量（幾百G甚至更多）數據處理的實時性，這就要求日志服務至少每秒能夠處理上萬條數據。
復雜告警邏輯
可疑安全事件的發現和定位，不再是依靠簡單的閾值進行告警，而是需要多個設備、系統數據進行關聯分析或者復雜計算。
例如：1、安全設備聯動告警；2、防火墻session時間過長告警。
