云安全中心：日志管理

功能原理

日志管理功能是威胁分析与响应服务联合日志服务SLS提供的多云、多账号和多产品的日志集中存储和分析能力。

购买威胁分析与响应日志存储容量后，威胁分析与响应服务会在日志服务自动创建一个专属Project（命名为aliyun-cloudsiem-data-阿里云账号ID-RegionID）和专属Logstore（命名为cloud_siem），用于存储威胁分析与响应收集到的所有日志数据。威胁分析与响应日志的存储地域取决于您在云安全中心控制台左上角选择的服务所在区域。

• 选择中国时，威胁分析与响应收集到的日志将存储在华东2（上海）地域。

• 选择全球（不含中国）时，威胁分析与响应收集到的日志将存储在新加坡地域。

当您开启对应日志类型的投递任务后，威胁分析与响应服务会自动将日志投递到日志库cloud_siem中。投递的日志会一直保留，直到超过您设置的存储天数后，对应日志数据被删除。如果日志存储空间耗尽，新日志会停止投递。在已使用的日志容量超过总容量的80%时，云安全中心支持发送通知信息。通知设置的具体操作，请参见通知设置。

计费说明

包年包月预付费。按照您购买的日志分析存储容量和购买时长收取费用。您在云安全中心控制台进行日志查询、导出等操作时，不会产生其他费用。

多账号统一管理说明

在多账号统一管理场景下，如果您使用全局账号管理员登录云安全中心控制台，在日志管理页面管理日志前，需要切换视图。视图说明如下：

• 当前账号视图：查看并管理当前账号存储的日志数据。

• 全局账号视图：查看并管理威胁分析与响应管控范围内的阿里云账号投递到当前账号下存储的日志数据。

前提条件

• 已开通日志服务SLS。具体操作，请参见快速入门。

• 已接入云产品日志。具体操作，请参见接入云产品日志。

步骤一：开启投递

1. 登录云安全中心控制台。在控制台左上角，选择需防护资产所在的区域：中国或全球（不含中国）。

2. 在左侧导航栏，选择威胁分析与响应 > 产品接入。

3. 在产品接入页面右上角，单击日志管理设置。

4. 在日志投递管理区域，打开需要投递的日志类型投递到热数据/启停时间列下的开关。

   您可以选中多个日志类型后，单击批量投递。

   在日志管理页面，打开目标日志类型右侧的开关，也可以直接开启该日志类型到存储空间的投递。

   

5. （可选）在左侧导航栏，选择威胁分析与响应 > 日志管理。在日志管理页面右上角，单击全部投递，为所有已接入数据源的日志类型开启投递。

步骤二：查询日志

1. 在左侧导航栏，选择威胁分析与响应 > 日志管理。

2. 在日志管理页面左上角，单击所有数据源，在所有数据源下拉列表，选中需要查看的数据源（即选择云产品和日志类型）。

3. 设置查询时间，通过查询语句检索日志，并查看日志分析数据。

   威胁分析与响应日志管理的日志查询方法和云安全中心日志分析查询方法相同，具体操作，请参见自定义日志查询与分析。

更多操作

修改日志存储天数

日志存储容量管理

相关文档

• 冷数据功能的介绍和操作指导，请参见冷数据。

• 您可以通过控制台、Cloud Shell或命令行工具将日志或查询分析结果下载到本地。具体操作，请参见导出日志。

• 您可以将日志投递到OSS进行存储。具体操作，请参见创建OSS投递任务（新版）。

• 如果日志存储空间被占满，将无法写入新的日志。您可以开启威胁分析与响应日志超量提醒通知，以便您及时扩容日志存储空间。具体操作，请参见通知设置。

• 威胁分析与响应的日志管理功能是否单独收费？