🛡️ 日志审计分析选型指南
集中采集、存储、分析各类安全日志，满足等保合规要求，支持事件回溯。
日志审计和日志平台不是一回事
「日志审计」在采购语境里通常指两类东西，先分清楚再谈价格：
| 类型 | 典型产品 | 核心能力 | 计费逻辑 |
|---|---|---|---|
| 日志平台 | 阿里云日志服务 SLS、腾讯云 CLS、华为云 LTS | 采集、存储、检索、分析、告警、投递 | 按写入量 + 存储量 + 读取量 |
| 日志审计系统 | 安恒、绿盟、启明星辰等专业设备 | 多源日志归一化、关联分析、合规报表、等保审计视图 | 按设备规格或日志源数量授权 |
云平台的日志服务便宜、弹性好、检索强，但缺「合规报表」和「安全事件关联分析」；专业日志审计设备贵、部署重，但开箱就有等保要求的审计报表和多源关联规则。等保测评时，测评机构看的是「是否有集中审计、是否留存 6 个月、是否可追溯」，云日志服务只要配置到位同样满足，但需要自己把报表和告警规则搭起来。
2026 年日志服务价格：按写入量还是按功能
以阿里云日志服务 SLS 为例，它有两种计费模式，选错模式成本可能差一倍以上。
模式一：按写入数据量计费（推荐给大多数用户）
只对原始写入数据量、存储、外网读取流量三类计费，数据加工、投递、智能告警这些增值功能不额外收费。写入的数据享 30 天免费存储。
| 计费项 | 单价 | 免费额度 |
|---|---|---|
| 原始写入数据量 | 0.4 元/GB | 无 |
| 日志存储（热存储） | 0.0115 元/GB/天 | 写入后 30 天内免费 |
| 日志低频存储 | 0.005 元/GB/天 | 无 |
| 日志归档存储 | 0.0017 元/GB/天 | 无 |
| 外网读取流量 | 0.2 元/GB | 无 |
模式二：按使用功能计费（原计费模式）
计费项拆得更细：存储费、索引流量、读写流量、数据加工等分别计费。适合对成本结构要精细管理的资深用户，但对大多数企业来说，模式一更简单也更省钱。
算一笔等保 6 个月留存的账
假设某企业每天产生 10 GB 日志，需要留存 180 天：
- 写入费用：10 GB × 180 天 = 1,800 GB × 0.4 元/GB = 720 元（一次性累计）
- 存储费用（全热存储）：平均存储量约 900 GB × 0.0115 元/GB/天 × 180 天 ≈ 1,863 元
- 存储费用（智能分层，7 天后转低频）：前 7 天热存储约 70 GB × 0.0115 × 180 ≈ 145 元，其余 830 GB × 0.005 × 180 ≈ 747 元，合计约 892 元
也就是说，日均 10 GB 的日志量做 6 个月留存，月均成本大约 270–430 元。相比买一台专业日志审计设备动辄十几万，云日志服务的成本优势很明显。但如果日志量放大到日均 100 GB，月成本就会涨到 2,700–4,300 元，这时候智能分层和归档策略就成了必须做的事。
另外，SLS 提供 500 MB/月的读写流量免费额度，对小型业务来说基本够用。
五个必须确认的参数
一、日均日志写入量
这是成本的第一驱动因素。要统计所有来源：应用日志、Web 访问日志、系统日志、安全设备日志（WAF、云防火墙、堡垒机）、数据库审计日志。一个中型业务的日志量往往在日均几十 GB 量级，比很多人预想的大得多。上线前先跑一周采样，不要凭感觉估。
二、留存时长与分层策略
等保三级要求 6 个月。但「6 个月内都要能快速检索」和「6 个月内能查到就行」成本差很多。合理的做法是：最近 7 天热存储（高频检索）、7–30 天低频存储、30 天以上归档存储。归档存储 0.0017 元/GB/天，只有热存储的 15%。
三、索引配置
日志存储量 = 压缩后的日志量 + 索引数据量。索引建得越多，存储越大。全文索引 + 多字段索引可能让存储量翻倍。原则是：只给真正要检索的字段建索引，其余字段保留原文即可。
四、是否需要跨账号、跨云汇聚
多账号架构下，日志分散在不同账号里，要做统一审计就得汇聚到一个中心账号。SLS 支持跨账号投递，但会产生额外的投递流量费用。混合云场景下还要考虑专线带宽成本。
五、告警与关联分析能力
日志存下来不看不告警，等于没做。SLS 的智能告警按规则配置，在「按写入数据量」模式下不额外收费。但要实现「同一 IP 在 WAF 被拦 100 次后又在 5 分钟内登录成功」这类跨源关联，需要自己写查询和分析规则，工作量不小。这也是专业日志审计设备仍然有市场的原因。
主流方案对比
阿里云日志服务 SLS
国内云日志市场占有率最高的产品。优势是计费模式灵活（两种模式可选）、智能分层存储、生态集成广（ECS、WAF、云防火墙、RDS 日志可直接投递）。按写入量计费 0.4 元/GB，30 天免费存储，对中小业务友好。缺点是复杂关联分析需要自己配置，没有开箱的等保报表。
腾讯云日志服务 CLS
与腾讯云 CLB、CVM、WAF、TDSQL 日志深度集成，支持 SQL 分析语法。价格按写入量、存储量、检索量计费，具体刊例需按地域查询。在游戏、社交类业务的日志场景适配较好。
华为云云日志服务 LTS
政企场景常见，支持日志采集、结构化、分析和可视化。常与华为云等保方案打包。
专业日志审计设备（安恒、绿盟、启明星辰）
开箱即用的多源日志归一化、关联分析规则库、等保合规模板报表。缺点是采购成本高（十几万到几十万）、扩容不灵活、日志量超规格后要换设备。适合日志源多、合规要求严、有专职安全运营团队的大型企业。
一个务实的选择逻辑：日志量小、预算紧、有技术能力做配置的，用云日志服务；日志源多、要过等保、没有专职安全团队的，用专业设备或云厂商的安全日志审计增值服务。两者也可以组合——云日志服务做全量存储，专业设备做关联分析和报表。
按场景怎么选
| 场景 | 建议方案 | 月成本参考 |
|---|---|---|
| 日均日志 < 10 GB，基础留存 | SLS 按写入量计费 + 30 天免费存储 | 百元级 |
| 日均 10–50 GB，等保三级 6 个月留存 | SLS + 智能分层（7 天热 / 30 天低频 / 归档） | 300–2,000 元 |
| 日均 50–200 GB，多账号汇聚 | SLS + 跨账号投递 + 分层存储 | 2,000–8,000 元 |
| 日志源多、需关联分析、要过等保 | 云日志服务 + 专业日志审计设备 | 设备一次性投入 + 云日志按量 |
| 混合云、IDC 场景 | 专业日志审计设备本地部署 | 按项目报价 |
一个能见效较快的降本动作：把日志按重要程度分三档。安全设备日志（WAF、防火墙、堡垒机）和登录日志保留 180 天全量；应用 debug 日志保留 7 天；访问日志保留 30 天。这样能在不违反合规要求的前提下，把存储成本压掉一半以上。
五个常见误区
误区一：以为日志存下来就完事了
日志的价值在检索和分析。存了 6 个月但从来不查，出安全事件时一样找不到线索。至少要配三类告警：登录失败突增、高危命令执行、异常外联。这三条覆盖了大部分入侵场景。
误区二：所有字段都建索引
索引数据量算进存储费。一个日志有 20 个字段，全部建索引，存储量可能是只建 3 个关键字段的两三倍。只给真正要检索的字段建索引，是成本优化里最直接的一招。
误区三：以为 30 天免费存储等于免费
免费的是「写入后 30 天内的存储」，写入本身的 0.4 元/GB 照收。日均 100 GB 的业务，光写入费就是每月 1,200 元。免费额度不是免单。
误区四：忽略日志本身的敏感性
应用日志里经常混着手机号、身份证号、Token、密码。日志平台如果不做脱敏，等于把敏感数据集中存了一份。等保和《个人信息保护法》都指向这个问题。采集时要配置脱敏规则，或者从源头不打敏感字段。
误区五：只采云上日志，不管 IDC 和终端
混合架构下，自建 IDC 的设备日志、办公网终端日志往往被漏掉。攻击者常常从办公网切入，这条路径上的日志如果没采，溯源会断在关键一环。
常见问题
日志审计是等保几级的要求？
等保 2.0 二级要求「对重要的用户行为和重要安全事件进行审计」，三级进一步要求审计记录留存不少于 6 个月、审计记录受到保护避免被删除修改。日志审计是这两条的主要实现手段。具体条款以 GB/T 22239-2019 和测评机构意见为准。
云日志服务能通过等保测评吗？
能，前提是配置到位：日志集中采集、留存 6 个月以上、有访问控制和权限分离、能按需检索追溯。测评机构看的是能力是否具备，不限定必须用某类产品。但需要自己准备好配置截图和说明材料。
两种计费模式怎么选？
大多数用户选「按写入数据量计费」更简单也更省。它把数据加工、投递、告警这些功能包含在内，不额外收费。「按使用功能计费」适合对成本结构要精细管理、并且会大量使用特定功能的资深用户。可以先按写入量模式跑一个月，看账单结构再决定。
智能分层存储怎么配最省？
常见配置是热存储 7 天、低频存储 30 天、其余归档。热存储 0.0115 元/GB/天、低频 0.005 元/GB/天、归档 0.0017 元/GB/天，分层后成本能降到全热存储的三分之一左右。注意归档存储检索需要先解冻，有延迟，不适合需要秒级查询的场景。
日志量怎么估算？
先跑一周采样：统计各类日志的日均产生量，乘以 1.5 倍冗余（业务会增长）。重点是别漏来源——WAF、云防火墙、堡垒机、数据库审计这些安全设备的日志量往往比应用日志还大。
日志里含个人信息怎么办？
三个动作：源头脱敏（应用不打敏感字段）、采集时脱敏（日志服务配置脱敏规则）、访问控制（只有授权人员能查）。《个人信息保护法》要求处理个人信息应当具有明确、合理的目的，日志采集也要遵循这个原则。
需要买专业日志审计设备吗？
看三个条件：日志源是否超过 50 个、是否需要跨源关联分析、是否有专职安全运营人员。三条都满足，专业设备的价值才体现得出来。否则云日志服务 + 自己配几条关键告警规则，性价比更高。
跨账号日志怎么汇聚？
主流云厂商的日志服务都支持跨账号投递，把成员账号的日志投到中心账号统一存储和分析。会产生投递流量费用，但相比每个账号单独买存储仍然更省。前提是账号架构用了资源目录统一管理。
日志被删了怎么防？
等保三级要求审计记录避免受到未预期的删除、修改或覆盖。措施包括：日志存储开启写保护或对象锁、权限分离（业务账号不能删日志）、定期投递到独立的归档存储、开启操作审计记录谁动过日志配置。
刊例价和实际账单差多少？
日志服务是典型的按量付费产品，没有折扣概念，账单完全取决于实际用量。控制成本靠的是配置优化（索引精简、分层存储、日志分级），不是谈折扣。建议上线首月密切观察账单，及时调整配置。
相关内容
6家厂商日志审计分析对比
日志的价值不在存，而在能查出来
等保要求日志留存不少于六个月，很多企业因此把日志当成一项存储任务：开个存储桶，把各类设备日志灌进去，到期清理。真正出事时才发现问题——各设备时间不同步，同一条攻击在不同日志里时间对不上；字段格式各异，无法关联；关键日志因为采集配置错误断了两个月；日志量太大，检索一个时间点要等十几分钟。
日志审计要解决的是可用性问题。它需要把网络设备、安全设备、主机、数据库、应用、云平台的操作日志统一采集，做时间同步与字段规范化，建立索引以便快速检索，再通过关联规则把孤立事件串成完整链条。这样才能回答「这个账号在失陷前后做了什么」「这次横向移动经过哪些主机」这类问题。
另一个价值是合规取证。测评和监管检查时，需要证明审计记录覆盖到每个用户、重要操作可追溯、日志未被篡改。这要求日志平台具备完整性保护、访问控制、留存策略配置能力，而不只是一个查询界面。
选型要看哪些维度
- 采集广度与协议支持：能否通过多种方式接入主流设备与应用日志，是否支持云服务日志、容器日志、数据库审计日志。
- 解析与规范化：是否内置常见日志格式解析模板，自定义解析配置是否简单，字段能否统一映射。
- 检索性能：亿级数据量下的查询响应时间、是否支持全文检索与结构化组合条件。
- 关联分析与告警：是否支持多源关联规则、时序分析、异常基线，告警能否分级与抑制重复。
- 存储成本与留存：冷热分层、压缩比、留存周期配置，长期留存往往是成本大头。
- 完整性保护：日志是否防篡改、访问是否留痕、能否导出用于取证。
六家方案的差异
阿里云的日志服务与其云上各类产品深度集成，云服务日志可直接接入，无需自建采集链路，适合业务在云上、日志来源以云产品为主的团队，检索与投递能力较强。
腾讯云的日志审计方案在游戏、社交类业务的大流量场景中实践较多，对高并发写入与实时分析的支撑较充分，适合日志量增长快、需要实时告警的业务。
百度云与天翼云的日志能力偏向与自家云平台配合使用，适合日志主要来自本平台的业务，接入成本较低。
Azure与AWS的日志服务在其云生态内集成度高，配置化程度好，适合业务运行在这些平台、希望用托管服务减少运维投入的团队，跨云统一分析需要额外建设。
不同场景怎么选
- 合规驱动型：重点做到采集覆盖完整、留存满足期限、日志防篡改，先把证据链建起来。
- 安全运营驱动型：重点看关联分析规则与告警质量，日志平台要能支撑日常研判。
- 日志量增长快：重点看写入性能与存储分层策略，控制成本增速。
- 混合架构：重点看采集方式的通用性和字段规范化的灵活度。
常见误区
只采集不解析。原始日志堆在一起无法关联，等于把存储成本换成了一个搜索框。
忽略时间同步。各设备时间不一致会让关联分析完全失效，这是最常见也最容易修的问题。
留存策略按最小要求设置。事件发现往往滞后，留存期太短会导致关键时段日志缺失，追查中断。
