2026年6月，国内数字安全领域独立第三方咨询机构数世咨询首次发布《新质·数字安全专精百强（2026）》榜单。日志易凭借在日志分析领域的长期深耕与市场表现，获评“日志分析”赛道单项冠军。

《新质·数字安全专精百强》是数世咨询今年首次推出的企业榜单，面向在细分市场或区域具备专业化、精深化创新优势的企业，与已上市企业分开赛道评价。榜单共设单项冠军（39家）、区域领军（26家）、行业小龙头（18家）、创新之星（17家）四大板块。

其中，“单项冠军”指“在某细分产品或服务上，无论是市场占比还是品牌影响力，均处于顶流的企业”，且该细分市场已形成基本成熟的赛道、包含多家相互竞争的企业。在成熟赛道中被认定为顶流，正是对厂商产品力与市场口碑的双重检验。

日志易成立于2014年，始终专注于日志管理与分析领域，已为超过1000家企业客户提供服务，并持续向AI可观测性与Agentic SOC安全运营方向演进。此次获评“日志分析”单项冠军，是第三方专业机构对日志易十余年技术积累的权威认可。

未来，日志易将继续深耕数据价值挖掘，以更专业的产品与服务，助力企业客户实现安全与运维效率的双重提升。

企业并不缺安全设备和告警，真正稀缺的是从海量信号中判断“谁的风险正在上升”的能力。日志易UEBA关注的不是一条日志是否异常，而是一个人、一台设备或一个账号在一段时间内的行为是否偏离常态，并据此给出可调查、可处置的风险线索。

背景

终端、VPN、堡垒机、业务系统、数据库、EDR等不断产生告警：凌晨登录、敏感文件访问、高权限操作、异常外发……单看每一条，都可能有合理解释；放在同一用户的完整行为链中，风险却可能完全不同。日志易UEBA要解决的，就是把分散事件还原为连续行为，把“发生了什么”进一步变成“谁更值得优先关注”。

一、异常是信号，不是结论

凌晨3点登录并不必然意味着账号失陷。如果用户在执行已审批的升级任务，设备和网络也都正常，这次登录更可能是业务行为。反之，若同时出现陌生设备、异常IP、多次认证失败和敏感系统访问，风险就会显著上升。

因此，日志易UEBA不急于给单条事件下结论，而是结合身份、时间、位置、设备、资源和前后行为判断风险，形成用户标签画像。它要识别的不是“少见”，而是“少见且可疑”。

二、从“看告警”转向“看人”

传统安全运营以事件为中心，不同系统各自报告异常。日志易UEBA则把异地登录、首次访问敏感系统、高权限操作和大量文件外发等事件关联到同一个用户，形成行为时序，观察风险如何累积。安全团队面对的不再是一张越拉越长的告警清单，而是一份高风险用户名单及其行为脉络。

三、每个人都有自己的行为基线

统一阈值很难适应真实业务。研发人员下载大量代码可能正常，普通运维人员突然下载源代码却值得关注；数据库管理员深夜执行SQL可能是例行维护，普通业务人员在非工作时间集中查询客户数据则不同。

UEBA会持续学习用户常见的登录时间、地点、终端、访问系统、操作类型和数据量，并参考岗位、部门等同类群体。判断标准由“是否超过固定阈值”，变为“是否明显偏离这个人及其同类的常态”。

四、有权限，不代表行为合理

访问控制回答“能不能做”，UEBA进一步追问“为什么现在这样做”。一名员工拥有客户数据查询权限，不代表他突然批量导出几十万条记录就是正常行为。对内部威胁、账号失陷和数据泄露而言，最难发现的往往正是使用合法账号、合法权限完成的异常操作。

五、比发现异常更重要的，是排出优先级

大型企业每天可能产生数以万计的安全事件。如果每条告警都要人工判断，再强的团队也会被噪声淹没。UEBA把不同类型、不同严重度、不同时间窗口内的行为汇总为用户风险评分：一次孤立异常可以保持低优先级，多种高危行为连续出现则评分迅速升高。这样，安全人员可以先调查风险最高的人，而不是平均用力。

六、风险分数应当随行为变化

用户风险不是永久标签。异常发生后分数上升，调查处置后进入观察期；若一段时间内没有新异常，分数应逐步恢复；若再次出现可疑行为，则重新累积。动态评分反映的是“现在有多大风险”，也让持续监控、调查、处置与恢复形成闭环。

七、UEBA改变的是安全运营方式

UEBA带来的变化可以概括为四个转变：

分析对象：从单条日志，转向完整行为；
关注重点：从一次事件，转向具体用户；
判断方式：从正常或异常，转向风险高低；
响应模式：从事后排查，转向持续观察。

规则、行为基线、关联分析和风险评分共同工作，安全运营因此更接近风险管理，而不是简单的告警处理。

八、日志易为什么适合做UEBA

第一层：数据底座接得全。 UEBA的效果，首先取决于能否获得完整、连续、可关联的行为数据。用户的登录、认证、命令执行、数据访问、文件操作、网络连接和门禁记录分散在不同系统中，格式与身份标识也不一致。日志易提供200+设备及流量日志的开箱即用接入解析能力，并能把账号、IP、终端、资产、部门与人员身份串联起来，为行为分析建立可靠的数据底座。

第二层：分析能力撑得住。 其次，UEBA既要看“刚刚发生了什么”，也要回答“与过去相比有什么不同”。日志易内置100+异常行为分析规则，覆盖账户失陷、员工行为异常、内部数据泄露、系统权限异常和异常特权操作等场景；同时可通过Flink对实时数据流进行检测和关联，用SPL分析数月乃至数年的历史数据，完成聚合、对比、关联和模型构建。实时发现与长周期基线使用同一套数据与分析体系，规则也能随业务持续调整。

第三层：运营流程闭得上。 更关键的是，日志易并不止步于产生一条新告警。平台可以把用户标签、个人与群体基线、风险评分和行为时序放到同一视图中，说明谁的风险更高、分数为何变化，以及异常行为如何前后衔接。安全人员可从群体风险排名进入个人风险视图，再沿时间线回溯原始日志和相关证据，调查过程更直接。

当风险被确认后，稽查任务、工单流转和外部系统联动又能把线索推进到核查、整改、反馈和关闭。由此，日志易把“采集日志—发现异常—关联到人—评估风险—还原过程—推动处置”连成闭环。它适合做UEBA，不是因为功能清单更长，而是因为数据基础、分析能力和运营流程能够真正接得起来，让企业从海量日志中持续识别并优先处置高风险行为。

告警只是信号，答案才是安全团队真正需要的。从“看告警”到“看人”，日志易UEBA正在帮助更多企业从海量日志中锁定高风险行为。

2026年8月10日，网络安全专业媒体安在新媒体正式发布《2026中国网络安全产品用户调查报告》，并同步揭晓2026安在新榜·网络安全产品“大众点评”系列榜单。

日志易稳居“日志分析与审计”头部阵营

日志易（LogEase）凭借在日志分析领域的产品能力与用户口碑，入选全景图“通用网络安全—综合管理与安全运营”领域下的“日志分析与审计”细分赛道十强，稳居赛道头部阵营。

来自4126份甲方用户的真实反馈

《2026中国网络安全产品用户调查报告》是安在新媒体连续第七年推出的行业全景调研，完全立足政企甲方用户视角：依托诸子云全国企业用户社群，回收有效样本4126份，覆盖全国31个省市自治区、16大重点行业，统计网络安全细分产品179类。细分赛道排名依据企业用户上一年度的实际部署量与满意度数据得出，成色十足。

日志分析与审计是安全运营体系的基础品类，承担着安全数据归集、关联分析、合规审计与事件溯源等关键职能。此次名次来源于甲方用户在真实部署与使用场景中的反馈，体现了日志易在该细分领域的产品成熟度与市场认可度。

三个值得关注的行业信号

报告同时揭示了安全运营市场的走向，与日志易的产品路线不谋而合：

日志分析与审计持续热门。 在“年度热门产品TOP20”中，日志分析与审计位列第19位，是综合管理与安全运营领域的热门品类之一。

品类口碑高于大盘。 在“产品满意度全景图”中，日志分析与审计满意度达88.69分，高于全行业产品平均满意度82.97分，表明该品类已具备较高的交付成熟度。

运营走向闭环。 政企采购从单点设备转向"平台+运营+闭环"，安全运营智能体与态势感知跻身年度热门产品前三。

日志易LAS日志审计一体机

赛道排名由产品说话。日志易LAS日志审计一体机（Log Audit System）基于日志易自研日志搜索引擎Beaver，软硬一体、开箱即用，一站式完成日志采集、存储、审计分析、安全监控与可视化，让企业在合规与运营两件事上少花钱、少费心。

合规省心：内置400+条审计与告警规则、250+种解析规则、20+种报表模板，开机即用；数据留存最长可达400天，满足《网络安全法》"网络日志留存不少于六个月"及等保2.0审计要求；

接入全面：覆盖文件与目录、Syslog、数据库、脚本、Beats、S3、Kafka等数据来源，支持10万级小文件并发采集，复杂日志格式轻松解析；

分析精准：支持防火墙、Web应用防火墙（WAF）、入侵检测与防御（IPS/IDS）等多设备关联分析，告警按攻击链六大阶段呈现；内置CVE漏洞库与MITRE ATT&CK知识库，威胁定位更快一步；

运维一体：内置操作系统性能监控、辅助巡检等运维场景，补齐日志报错监控盲点，安全、运维、审计一机融合；

信创适配：日志易自研Beaver搜索引擎已通过中国信息通信研究院信创认证；日志易产品已完成与华为鲲鹏（TaiShan服务器）、银河麒麟、统信UOS等国产芯片与操作系统的兼容互认证，7款产品入选信创技术图谱，满足关键行业自主可控的选型要求；

按需选型：LAS-V50、LAS-V100、LAS-V200、LAS-V500、LAS1000五档型号，覆盖50至1000个审计对象，标准2U硬件、冗余电源，支持灵活扩展。

从日志审计一体机，到日志分析、安全信息与事件管理（SIEM）、可观测性与智能安全运营（Agentic SOC），日志易（LogEase）围绕日志数据价值的产品体系持续进化。如需了解日志易LAS日志审计一体机的详细配置与行业案例，欢迎致电 400-085-0159。

摘要：中国香港网络安全协会（HKCNSA）发布香港首个网络安全投资与选型研究。日志易作为六家受访厂商中唯一的日志管理与SIEM厂商深度参与，创始人兼CEO陈军接受深度访谈，并获报告评价为“A Cost-Effective SIEM Challenger with a Government Reference（拥有政府标杆案例的高性价比SIEM挑战者）”。

2026年6月，中国香港网络安全协会（Hong Kong China Network Security Association，HKCNSA）联合国际咨询机构 Sia，正式发布研究报告——《Cybersecurity Beyond the Tools: Investments, Vendors Selection, and Strategic Decision-Making in Hong Kong》（超越工具的网络安全：香港市场的投资、厂商选型与战略决策）。

这是香港首次有机构开展此类研究。日志易（LogEase）作为六家受访的网络安全厂商之一、也是其中唯一的日志管理与SIEM厂商，公司创始人兼CEO陈军接受研究团队深度访谈，与来自SOC、数据防泄漏、云原生安全、威胁情报、企业IT基础设施等领域的厂商，共同呈现厂商视角下的香港网络安全市场真实图景。

对于正在论证安全预算、落地PCICSO合规要求，或评估Splunk等海外平台替代方案的IT决策者而言，这份兼具数据与一线视角的报告，或许能提供一份及时的参照。

关于这份报告：香港首个同类研究，四线并行的调研设计

中国香港网络安全协会是香港首个网络安全与数据隐私专业社区，以应对共同的数字挑战为使命，持续在各领域之间搭建桥梁，依托会员的多元背景分享知识、技巧与真实经验。本报告由Stefano Fois（Director of the Research Committee）牵头，是继2025年首份《香港网络安全人才格局》报告之后，HKCNSA与Sia联合发布的第二份行业研究。

区别于常见的理论框架式报告，本研究直击一个核心命题：网络安全领导者如何在预算压力、监管审视与人才约束之下，做出真实决策。研究通过四条相互印证的路径展开：

• 约100名活跃于香港各关键行业的网络安全专业人士问卷调研；

• 5个企业网络安全选型与落地的深度案例研究；

• 6家中国内地及香港网络安全厂商的坦诚访谈；

• 3位资深网络安全领袖的结构化访谈与前瞻建议。

协会在报告中特别承诺对参与者信息严格保密与匿名化处理。正因如此，这份报告呈现出难得的坦诚度与实战参考价值。

报告关键发现速览：六大张力下的香港网安市场

报告从调研数据中提炼出定义香港网络安全投资格局的六大结构性张力：预算稳定vs战略雄心、合规驱动vs战略安全、ROSI度量鸿沟、自建与外购的两难（GRC悖论）、人才短缺vs运营复杂性、AI雄心vs基础就绪度。

读这些数据时，不妨对照三个问题：你的安全预算靠什么论证？你的监控与分析是自建还是外包？你的AI投资是否打好了地基？

根据HKCNSA与Sia联合发布的《Cybersecurity Beyond the Tools》研究（调研覆盖约100名香港各行业网络安全专业人士）：

• 57%的受访组织预算保持稳定，但86%计划在未来24个月增加AI/ML安全工具投资——雄心与资源的错配已然显性化；

• 73%的组织未正式计算安全投资回报率（ROSI）；

• 74%的组织以合规要求作为安全投资的首要论证依据；

• 67%的组织将地缘政治考量与数据主权列为未来3-5年厂商选型的首要因素；

• 人才发展在未来投资优先级中排名垫底，仅占14%；

• 香港网络安全市场规模预计从2025年的8.5亿美元增至2031年的13.5亿美元，年复合增长率8.53%；

• 2025年香港录得15,877起网络安全事件，同比增长27%，创历史新高；

• 香港首部专门网络安全立法《保护关键基础设施（电脑系统）条例》（PCICSO）已于2026年1月1日全面生效：严重安全事件须在12小时内通报，不合规最高可罚500万港元——合规正式进入强制时代。

尤为值得注意的是，报告指出：安全监控与分析（Security Monitoring & Analytics）位列当前投资首位，同时也是外包程度最高的领域（43%的组织将过半业务外包）。日志与数据底座的价值，正在被前所未有地重视。

报告如何评价日志易（LogEase）

在本次研究的厂商章节中，报告给予日志易明确的定位与评价。以下内容摘抄自报告原文（附中文译文）：

报告界定六家受访厂商——日志易代表日志管理与SIEM品类：

“The vendors represent a deliberately diverse cross-section of the cybersecurity landscape: SOC services and endpoint protection (Ansen), data loss prevention (Coworkshop), log management and SIEM (LogEase), cloud-native security (Tencent Cloud Security), threat intelligence and network detection and response (ThreatBook), and enterprise IT infrastructure and security (Digital China).”

受访厂商代表了网络安全版图中刻意选择的多样化横截面：SOC服务与终端防护（Ansen）、数据防泄漏（Coworkshop）、日志管理与SIEM（LogEase）、云原生安全（Tencent Cloud Security）、威胁情报与网络检测响应（ThreatBook）、企业级IT基础设施与安全（Digital China）。

报告为日志易撰写的厂商画像——“拥有政府标杆案例的高性价比SIEM挑战者”：

“A Cost-Effective SIEM Challenger with a Government Reference. LogEase is a Mainland Chinese log management and SIEM platform that has been in operation for approximately eleven years. It positions itself as a technically credible and cost-effective alternative to established Western platforms such as Splunk, targeting enterprise and government customers who face growing log management obligations but are constrained by budget. Its most significant Hong Kong reference deployment is with the Digital Policy Office, where it supports log analysis for the ‘iAM Smart’ application, a government digital identity platform used by millions of residents. This deployment has been instrumental in establishing LogEase's credibility in the Hong Kong public sector.”

日志易是一家中国内地的日志管理与SIEM平台厂商，已运营约十一年。其定位为Splunk等老牌西方平台技术可靠、更具成本效益的替代方案，面向日志管理合规义务日益增长、但预算受限的企业与政府客户。其在香港最重要的标杆部署来自数字政策办公室（Digital Policy Office）：日志易为政府数字身份平台“智方便”（iAM Smart）应用提供日志分析支持，该平台服务数百万香港居民。这一部署对日志易在香港公共部门建立公信力起到了关键作用。

报告引用日志易关于市场认知壁垒的判断：

“LogEase frames the issue as one of brand recognition: Western vendors have historically enjoyed stronger visibility and longer track records, but argues that the underlying capability gap is narrowing.”

日志易将这一问题的核心归结为品牌认知：西方厂商历史上享有更高的知名度与更长的业绩记录，但日志易认为，底层能力上的差距正在收窄。

报告引用日志易在政府项目中的本地化交付经验：

“LogEase’s Digital Policy Office deployment illustrates this clearly: the primary challenge was not technical, but cultural and operational, bridging differences in working style and communication habits between Mainland Chinese engineers and Hong Kong engineers.”

日志易在数字政策办公室的部署清楚地印证了这一点：项目的主要挑战并非技术层面，而是文化与运营层面——需要弥合内地工程师与香港工程师在工作方式与沟通习惯上的差异。

报告引用日志易对行业价格战风险的警示：

“LogEase similarly warns of the risk of a price war as more Chinese vendors enter the Hong Kong market.”

日志易同样发出警示：随着更多中国厂商进入香港市场，需警惕价格战风险。

三个判断：报告发现与日志易的一线答案

综合报告发现与日志易的访谈内容，可提炼出三个核心判断。这些来自供给侧的观察，对客户而言同样是一面镜子：选型真正要比拼的，是能力、交付与长期陪伴，而非出身与声量。

判断一：认知是中国厂商进入香港市场的首要壁垒，而非技术或监管。报告发现，受访厂商普遍将“市场认知”视为中国方案落地香港的主要障碍；日志易在访谈中进一步指出，西方厂商凭借历史积累享有更高的品牌能见度，但产品底层能力的差距正在收窄。报告同时指出，中国厂商破局的路径，主要在于客户教育、成功的标杆部署与透明的合规沟通，而非仅仅依靠产品改进。

判断二：地缘政治或给“入场券”，但赢得市场靠质量与本地化。 报告原文写道：“geopolitics may provide an entrance ticket, but quality and local ecosystem support ultimately determine the outcome”——地缘政治或提供入场券，质量与本地生态支持才最终决定成败。日志易在数字政策办公室的部署正是例证：真正的胜负手不在技术，而在于跨文化的协作能力与本地化交付深度。

判断三：警惕价格战，以价值构建长期伙伴关系。 报告明确指出：“LogEase similarly warns of the risk of a price war as more Chinese vendors enter the Hong Kong market”——面对更多厂商进入香港市场，日志易警示价格战风险。报告之外，日志易的态度同样明确：把成本优势让渡给客户，把资源集中在产品、服务与长期陪伴上。

同频共振：报告发现印证日志易的赛道价值

细读报告数据，多项发现与日志易所处的日志管理与SIEM赛道直接相关：

• 监控与分析是当前投资与外包的“双第一”——日志数据是安全监控、威胁检测与事件响应的底层燃料，SIEM正是承接这一需求的核心平台；

• PCICSO全面生效，合规从原则走向实施——严重事件12小时内通报、定期风险评估与独立审计等义务，让日志的集中留存、检索分析与审计取证成为刚性需求；

• 本地化、区域适配的解决方案将持续走强——报告指出，符合大中华区监管要求、贴近本地威胁环境的方案将赢得更多机会，这正是日志易深耕的方向；

• 数据主权成为未来选型的首要标尺——67%的组织将地缘政治考量与数据主权列为首要因素。日志易深知，数据驻留保障、本地化支持与监管对齐，是在香港及大中华区服务的立身之本，也是每一个项目落地的前提；

• AI增强的安全运营是未来共识——日志平台是AI落地安全检测与自动化响应的数据基础设施。

从Splunk替代到信创日志基础设施建设，日志易始终聚焦一件事：让企业的每一分安全预算，都产生可衡量的价值。

结语：出身不是答案，价值才是

报告厂商章节的结论，值得每一位安全从业者与决策者深读：

“Origin alone, whether Chinese or Western, is neither a sufficient reason to adopt a solution nor a sufficient reason to reject one. What matters is technical capability, organizational maturity, service depth, regulatory alignment, and the quality of the long-term partnership.”

仅凭出身——无论中国还是西方——既不足以成为采纳一个解决方案的理由，也不足以成为拒绝它的理由。真正重要的是：技术能力、组织成熟度、服务深度、监管对齐，以及长期伙伴关系的质量。

这既是对采购方的忠告，也是对厂商的要求。深耕日志管理与安全分析十余年，从内地到香港，从企业客户到政府公共部门，日志易始终相信：入场靠机会，立身靠价值。

未来，日志易将继续以扎实的产品能力、深度的本地化服务与长期的伙伴承诺，助力香港及大中华区客户从容应对合规升级与威胁演进的双重挑战。

【获取完整报告】如需阅读报告全文，可点击链接下载：https://3cef5ba6-e54c-47c3-8bef-57c61ab16ca5.usrfiles.com/ugd/3cef5b_6bb852a3025a42889192e18a6295bdae.pdf。

如您希望就报告发现、PCICSO合规应对，或日志管理与SIEM平台实践进一步交流，欢迎直接与我们联系。

关于日志易（LogEase）：成立于2014年，是中国领先的AI可观测性与Agentic SOC安全分析解决方案提供商，已获发明专利89项、外观专利164项，曾入选Gartner 10个报告。日志易服务金融、政府、制造、能源、运营商等对数据安全要求严苛行业的超过1000家大客户，覆盖约20%的中国500强企业。团队近300人，分布于中国内地、香港与新加坡，已在香港、澳门落地10余个金融与政府标杆项目，海外客户覆盖新加坡、马来西亚、缅甸、伊拉克、荷兰、安哥拉等国家和地区，持续拓展全球市场。

关于中国香港网络安全协会（HKCNSA）：香港首个网络安全与数据隐私专业社区，致力于跨越各领域搭建桥梁，依托会员多元背景分享网络安全知识、技巧与真实经验，推动行业交流与发展。

注：文中英文引文摘自 HKCNSA《Cybersecurity Beyond the Tools》报告原文，中文为参考译文，如有出入以英文原文为准。

在企业安全管理中，“登录成功”往往只能证明账号通过了身份认证，并不等同于访问行为绝对安全。它无法证实当前的操作者是否为合法的账号拥有者，也无法预判登录后的操作是否符合合法的安全规范。

对此，本文将结合日志易UEBA（用户与实体行为分析）的两个典型应用场景，深度解析如何看破“合法登录”背后的安全隐患。

闲置账号突然“复活”

企业却很难第一时间发现

随着企业业务系统不断增加，操作系统、VPN、云桌面、堡垒机和各类业务系统中的账号数量也在快速增长。人员转岗、离职，项目结束或组织调整后，一些账号难免没有被及时回收，逐渐成为长期无人使用、缺乏明确归属的闲置账号。长期不登录并不意味着账号一定存在问题。

真正需要警惕的是，一个长期沉默的账号突然重新登录。

这时，企业需要迅速确认：

• 账号当前是否仍有明确使用人？
• 原使用人是否已经离职或转岗？
• 本次登录使用的终端和时间是否合理？
• 登录后又访问了哪些系统和资源？

但在实际运营中，回答这些问题并不容易。安全人员首先要从大量账号中筛选出长期未登录用户，再持续比对每天新增的登录记录。一旦发现某个闲置账号重新出现，还需要进一步查询人员、终端、资产和操作日志。如果完全依靠人工处理，不仅工作量巨大，时效性也差。

账号长期在线

设置的退出规则为什么没有生效？

另一个常见问题源于管理与用户习惯的冲突，很多系统为了避免用户离开终端后，账号仍然保持有效会话，企业通常会配置无操作自动退出机制。

以堡垒机为例，用户30分钟没有操作，系统便自动断开连接。但在实际工作中，偏偏有些人员为了避免频繁登录或保持长时间执行某任务，而采用浏览器插件、脚本来维持连接，使账号长期处于在线状态，但人可能不在电脑前。

企业虽然制定了相关规则和制度要求，却很难抓到实际证据：一方面，账号正常登录在线并不一定会触发安全告警；另一方面，在流量层面，这些连接可能只是普通的加密流量，很难仅凭单一网络日志判断其背后是正常运维、自动化任务，还是人为维持的违规会话。

日志易UEBA

将人工排查变成自动监测

闲置用户登录监测：日志易首先获取云桌面IP清单或汇总最近30天内的全量登录记录，形成历史账号集合。每天出现新的登录账号时，系统会自动与历史记录进行比对。如果某个账号超过30天没有登录，却在当天出现，系统便将其识别为需要核查的对象。

账号长期在线监测：堡垒机账号长期在线的问题，日志易可以进一步关联Web登录日志和堡垒机RDP、SSH连接日志。如果某个用户未在24小时内登录Web，却仍然有RDP/SSH连接的情况，系统便可以将其识别为需要关注的对象。告警列表内容如图：

日志易UEBA

价值不只是产生一条告警

对于企业来说，这类场景的价值并不仅仅是“发现了一个异常账号”。

首先，上述两个模型具备一定通用性，并能够扩大监测范围，过去只能被动发现，现在可以覆盖全部账号并实时监测。

其次，它能够缩短定位过程。告警中可以直接呈现涉事账号、登录时间、源地址、访问方式和相关资产，减少安全人员在多个系统之间反复查询的工作。

企业制定了账号回收制度、闲置账号管理制度和无操作退出规则，但如果缺少技术监测，这些制度很容易停留在纸面上。日志易UEBA通过持续的自动化监测，让管理制度从纸面走向落地，真正成为企业安全运营的闭环。

当AI技术深度融入企业日志平台，智能辅助正成为驱动业务决策与系统运维的核心力量。近期，日志易正式发布5.6 AI特别版，该版本深度融合AI能力，聚焦效率提升、体验优化、准确性增强三大方向，全面实现智能化运维能力，系统性地提升了产品在AI辅助方面的可靠性与易用性。

一、行业专属知识库构建能力

多格式入库、向量化与轻量管理

不同行业的客户的业务及日志分析的要求是存在不同标准的，内置知识库无法满足全部需求，需提供构建行业客户专属知识库的管理能力，以扩大大模型学习知识的范围，从而提高回答的准确性。

• 支持多格式文档上传与在线编辑：可上传多种类型的文档，也可在线完成文本知识的编辑与维护。
• 支持文档与在线内容的向量化入库：可将本地文档或在线文档一键向量化，自动导入知识库。
• 分块存储提升召回效率：文档入库过程中自动对知识内容进行分块存储，便于大模型在检索时快速、准确地召回所需信息。
• 提供轻量级文档管理能力：无需预先定义文档结构或字段，即可直接使用，降低使用门槛。

（知识库文档页面）

（知识库在线知识）

二、知识库高效应用三大策略

补充、优先级与智能体指定

构建专属知识库后，需要掌握使用方法，并将其灵活运用于实际业务场景中。

• 补充外部知识：当知识库之外存在额外的知识内容时，可通过附件上传功能，将补充材料提供给大模型学习，丰富回答依据。

• 明确引用优先级：针对不同智能体对知识来源的引用优先级进行内部优化，确保在内容生成中始终调用最优质的知识。
• 指定智能体范围：通过指定智能体，系统可精准识别您的意图；同时，引用知识库文件能够圈定大模型的学习范围，显著提升回答的准确率。

三、智能交互与日志分析增强

上下文配置、深度解读、灵活分流与手动修正

• 可配置大模型上下文长度：支持配置大模型的最大Token长度，系统将据此计算每次提问可承载的上下文范围，保障使用流畅性。
• 日志解读分析优化：点击获取页面日志后，不再直接输出简单解读，而是可结合知识库、附件文档等补充信息，进行更深入的分析并给出针对性建议。

• 灵活选择智能体重新生成：支持在重新生成回答时自行选择智能体，有效避免大模型对问题分流的偏差。
• 支持SPL语句手动修正：针对AI生成的SPL可能存在的偏差，提供在线编辑修改功能，方便用户直接纠正。

四、最佳实践

日志易5.6 AI特别版

以ChatSPL为例，SPL与业务数据、行业特征紧密相关，需通过构建专属知识库并精准引用，才能提升生成语句的可用性与准确性。创建业务SPL知识相关文档并上传入库，让大模型在生成SPL时结合自有业务知识。

文档入库成功后，用户可在Copilot中选择ChatSPL智能体，基于已有知识库进行精准提问。

支持追加提问生成。

日志易平台迎来重要更新！本次升级聚焦三大核心领域：全新推出Copilot智能助手，强化数据采集与管理能力，优化搜索体验并新增多项实用功能。让我们一起来看看这次更新带来了哪些亮点。

一、Copilot智能助手：智能化运维新体验

日志易正式推出Copilot智能助手，通过AI技术为运维分析工作注入新动力。该功能需要License新增AI特性授权，并在系统配置中增加“Copilot配置”项，支持对接多种大语言模型。

三大核心能力：

1. 问答易 - 基于系统帮助文档内容，智能响应用户关于系统功能与使用方法的各类问题，让使用指导更便捷
2. 洞察解读 - 对日志查询结果、告警事件等信息进行深度分析与智能解读，帮助用户快速理解数据背后的含义
3. ChatSPL - 支持通过自然语言输入自动生成对应的SPL查询语句。用户可查看生成的SPL执行结果与摘要信息，还可一键跳转至搜索页面进行深入分析

二、数据采集与管理全面增强

Agent管理升级：

• Agent Proxy现支持完整的生命周期管理操作，包括启动、停止与升级
• 支持运行状态实时监控，运维状态一目了然
• Agent管理新增卸载与批量卸载功能，管理更灵活

采集功能优化：

• 采集项新增指标数据采集能力
• 可在配置中指定目标指标索引，实现精准数据路由
• 采集项支持Agent备份，数据安全更有保障
• 脚本采集全面加固，为脚本执行命令增设系统级黑名单约束，并支持用户自定义安全规则

三、搜索功能与系统优化

搜索体验提升：

• Fromkafkapy命令新增SSL协议支持，数据传输更安全
• Chart命令支持Useother参数，图表展示更灵活
• 指标搜索增加对返回时间序列数量及数据点数的限制，超限时将进行提示，避免资源过载

系统功能增强：

• License新增租户数量特性，并在Master/Peer池架构中支持相应的租户数量分配机制
• 当搜索数据返回不完整时，系统支持配置告警模板及时提示
• 字段提取字典扩展支持通配符匹配，处理更高效
• 新增内置银行卡号脱敏规则，数据安全再升级
• 资源授权列表新增“所属应用”字段，支持按应用进行筛选
• Aetherion模块已作为内置组件固化在Manager中，系统更稳定

四、安全优化：移除脚本中心管理功能

为降低中心节点风险，增强系统整体安全性，本次更新移除了脚本中心管理功能。现在由本地Agent自主处理相关任务，分布式架构更安全可靠。

日志易5.6的更新从智能化、安全性和易用性三个维度全面升级，Copilot智能助手的加入标志着日志分析向AI驱动迈出重要一步，而数据采集和搜索功能的优化则进一步夯实了平台的基础能力。这些改进将帮助用户更高效地进行运维监控和日志分析，提升整体运维效率。

你有没有过这样的经历：

仪表盘做出来了，数据也都对，但总感觉“差点意思”——页面拥挤、重点不突出、颜色一多就乱、不同人手里改来改去风格越来越散。

更头疼的是：你知道它不够好看，却很难说清“到底哪里不好”，“怎么改才算对”。

新版日志易MCP带来两项核心看点：

1. 仪表盘美观度评分工具：把“好不好看”变成可以量化对比的分数与建议
2. 基于智能体的自动优化：在评分建议的基础上，AI智能体可以自动产出优化方案，并自动调整，让优化不再靠纯手工拖拽改色仪表盘美观度评分——让审美变成标准，让优化有方向

仪表盘美观度评分

让审美变成标准，让优化有方向

过去大家在优化仪表盘时，往往靠“经验”和“感觉”：

• 这个卡片挪一下
• 那个颜色淡一点
• 标题缩短一点  最后效果可能更好，也可能更乱，关键是——缺少统一标准，缺少可复用的方法论。

日志易MCP参考东南大学《Utilizing Multiple Regression Analysis and Entropy Method for Automated Aesthetic Evaluation of Interface Layouts》的最新科研成果，从布局结构和配色层次出发，给出8项细节评估指标，输出对应评分和可执行的优化建议。

1. Density（密度）：页面是否拥挤/过满，留白是否合理
2. Symmetry（对称性）：左右/上下是否对称，视觉是否稳定
3. Balance（平衡性）：视觉重心是否偏移，是否“一边沉一边飘”
4. Proportionality（比例协调）：面板长宽比差异是否过大，是否“忽扁忽高”
5. Uniformity（一致性）：面板尺寸、间距、风格是否统一
6. Simplicity（简洁性）：面板数量是否过多导致碎片化
7. Sequence（顺序性）：阅读路径是否顺畅（从左上到右下的自然浏览流）
8. Color（配色分）：主/辅/强调的占比是否合理，深/浅色背景下的对比度是否足够

日志易MCP

智能体优化案例

我们以日志易运营应用的仪表盘总览页为例。经过多人历次迭代修改后，仪表盘效果如下图所示：

我们在加载了新版日志易MCP服务器的智能体对话中，要求对该总览页进行美观度评价：

基于美观度评分和建议，智能体会给出激进、中度和保守等不同的优化方案供选择。在本例中，智能体甚至独立发现了仪表盘中有一份信息重复的趋势图，并主动推荐我们删除：

最后，智能体完成优化的仪表盘总览页效果如下：

以上只是一个简单的示例。在现实中，同样是仪表盘，“后台管理类”和“业务监控类”的优化目标可能完全不同。

提供给智能体更多的场景信息，得到的仪表盘美化效果也会更理想。您甚至可以尝试基于MCP给出的量化评分，进行Autoresearch式的多轮次自动优化。

日志易MCP在GitHub仓库持续发布与迭代，欢迎下载试用：https://github.com/rizhiyi/rizhiyi-mcp

随着制造业数字化、工业互联和供应链协同的持续推进，企业核心数据正在从传统封闭环境，逐步流向研发设计、生产制造、质量管理、供应链协同、远程办公和外部合作等多个业务场景。

对于制造企业而言，研发图纸、工艺配方、生产参数、BOM清单、客户订单、供应链数据、设备运行数据等，已经成为企业最关键的数字资产。

一旦这些数据发生泄露，带来的影响往往不只是一次性的经济损失，更可能导致核心技术外流、客户信任下降，甚至影响企业长期市场竞争力。

过去，企业谈到数据安全，更多关注外部攻击、病毒入侵和边界防护。但在实际业务中，制造企业面临的数据泄露风险，并不总是来自外部黑客。

越来越多风险，来自一种更隐蔽的情况：合法身份下的异常行为。例如：

• 工程师短时间内批量下载设计图纸
• 员工频繁访问与岗位无关的生产数据
• 非工作时间出现大规模数据读取、打印或拷贝
• 敏感文件通过邮件、网盘、即时通讯工具外发
• 离职流程前后，出现异常访问、异常下载和异常外发
• 第三方驻场人员或合作账号，通过正常接口持续访问敏感数据

这些行为通常具备合法账号、正常权限和合规访问路径。也正因为如此，传统依赖固定规则或内容识别的安全系统，往往很难准确判断：这次操作到底是正常业务行为，还是潜在风险行为。

这正是UEBA发挥价值的地方。UEBA，全称为User and Entity Behavior Analytics，即用户和实体行为分析。简单来说，“这个人（某个设备）在这个时间、以这种方式、访问这些数据，是否符合正常行为模式？”

01

数据防泄露，难点不只是“文件里有什么”

传统数据防泄露系统，通常更关注文件内容。

例如：文件中是否包含敏感字段，是否涉及客户信息，是否命中图纸、合同、配方、源代码等敏感规则。这种方式很重要，但它解决的是“内容是否敏感”的问题。而在制造业实际场景中，很多风险并不只是文件内容问题，而是行为上下文问题。同样一份图纸，研发工程师在项目周期内访问，可能是正常工作；但如果某个员工在非工作时间、通过异常终端、连续批量下载多个项目图纸，并伴随外发行为，就需要被重点关注。同样一次数据库查询，数据管理员执行可能是正常操作；但如果一个平时只负责生产线数据查看的岗位，突然频繁查询客户订单库、供应链价格数据或核心工艺参数，也可能说明行为已经偏离正常范围。因此，制造业数据防泄露不能只看“文件内容”，还要进一步分析：

谁在访问？什么时间访问？通过什么设备访问？访问了哪些系统？操作频率是否异常？是否符合岗位特征？是否与历史行为一致？是否伴随下载、打印、外发、删除等高风险动作？

这就是从“内容检测”走向“行为识别”的关键变化。

02

日志易UEBA如何工作？

在制造业客户场景中，企业往往已经建设了终端安全、数据防泄露、上网行为管理、邮件系统、OA系统、数据库审计、堡垒机、文件系统、业务系统日志等多类系统。

这些系统每天都会产生大量行为记录。

单独来看，它们只是一个个分散事件；但当这些数据统一汇聚到日志易UEBA平台后，就可以进一步进行关联、建模、分析和评分。日志易UEBA的核心思路，可以概括为五步：

1. 汇聚多源行为数据

平台统一接入来自终端、账号、业务系统、数据库、安全设备、DLP、EDR、上网行为管理、OA、文件系统等多类日志和行为数据，通过关联分析模型直击安全人员核心疑问。

2. 建立行为基线

平台基于员工长期工作习惯、部门特征、岗位角色、系统访问范围、下载频率、外发习惯、操作时间等因素，建立动态行为基线。

3. 识别异常行为

当某个用户或实体的行为明显偏离历史基线、岗位基线或群体基线时，日志易AI可以结合历史外发行为、岗位特征、同类群体行为、数据敏感级别、外发渠道等上下文，判断异常是否真的值得关注。例如：某员工在外发敏感数据时，按正常流程需要进行登记备案，被拦截后，转而通过未备案渠道外发，或尝试绕过审批流程继续外发，这种行为就非常可疑，需要管理员关注，而且靠固化规则很难发现。

4. 进行风险评分UEBA

不是只对单个事件告警，而是将多个行为组合起来分析，在AI能力加持下，风险评分维度进一步丰富，比如，一个行为可能只是轻微异常，但多个异常行为连续发生，就可能形成高风险画像。

（注：风险评分示意图，目前支持对话交互）

5. 支撑稽核分析

对于高风险人员、高风险账号和高风险行为，平台可以提供个人风险视图、AI自动生成分析摘要、告警风险解释和处置建议，从而提高违规报告、审计报告生成效率，让行为分析从规则判断走向智能研判。

03

典型场景：离职前、中、后的风险稽核

在制造企业中，离职前后往往是数据泄露风险较高的阶段。尤其是掌握研发图纸、工艺参数、客户信息、生产数据、供应链数据的关键岗位人员，其行为变化更需要被关注，为此企业需要对重点用户整个离职过程进行全方位稽核审计。

1. 离职前：发现异常行为变化

在员工正式进入离职流程之前，企业很难仅凭单个事件判断离职倾向。但如果从行为变化角度观察，一些异常趋势可能已经出现。例如：

• 文件下载量明显上升
• 访问系统范围突然扩大
• 开始频繁访问非岗位相关数据
• 非工作时间登录核心系统
• 高频查询或打印研发资料、工艺文件、客户台账
• 通过邮件、网盘、即时通讯工具外发敏感资料
• 尝试删除本地记录或绕过正常审批流程

日志易UEBA可以结合个人历史行为、部门岗位特征和敏感数据访问情况，建立风险画像，并对异常行为进行评分，帮助企业更早发现潜在风险。

2. 离职中：关注权限变更与交接过程

员工进入离职流程后，企业需要重点关注账号权限、系统访问、数据下载、文件外发和交接过程。在实际管理中，离职交接并不只是归还工牌、电脑和门禁卡。对于制造企业来说，更关键的是：

• OA、业务系统、数据库权限是否按流程回收
• 文件服务器、研发系统、生产系统访问权限是否关闭
• 是否仍可访问高敏感数据
• 是否存在未注销账号或遗留访问入口
• 是否存在离职流程中的异常下载、打印或外发
• 是否存在系统账号、服务账号、接口账号未纳入回收范围

日志易UEBA可以结合HR系统、账号系统、OA、CMDB、业务系统、安全设备日志等信息，对离职人员和高风险人员进行重点关注。

同时，平台可以定期形成员工权限变更报告、员工权限开通清单等，帮助企业快速核查账号权限状态，减少因权限回收不及时带来的安全隐患。

3. 离职后：回溯关键操作，支撑风险追溯

员工离职后，并不意味着风险完全结束。对于涉及核心技术、生产工艺、客户资源、供应链数据的岗位，企业仍需要对离职前至少90天内的关键操作进行回溯分析。

日志易UEBA支持基于稽核管理功能，对离职人员近期行为进行追踪分析，关注其在离职前后是否触发过异常访问、异常下载、异常打印、异常外发、异常删除等行为。企业可以按人员、部门、时间范围、系统、数据类型、风险等级、外发渠道、异常行为类型等维度进行筛选和追溯，从而还原风险发生前后的行为路径，为内部审计、风险处置和管理优化提供依据。

04

结语

制造业的数据安全建设，不能只依赖边界防护，也不能只依赖单一规则。真正的风险，往往隐藏在日常业务操作之中。一个合法账号、一次正常访问、一次看似普通的下载或外发行为，如果放在更长周期、更大范围、更复杂的上下文中分析，可能就会呈现出不同的风险含义。传统DLP解决“内容是否敏感”，UEBA解决“行为是否异常”，AI辅助UEBA进一步解决“为什么这个行为值得关注”。制造业数据防泄露，也正在从“看内容”走向“看行为”，从“事后追责”走向“智能发现”的安全运营模式。

01

安全运营的困境：当固定规则遇上动态威胁

安全运营团队每天都在面对一个熟悉的困境：告警如潮水般涌来，重复信息、误报与真正需要关注的风险混杂在一起。更棘手的是，传统的固定规则检测正在暴露结构性缺陷。

• 误报困境：销售或项目接口人日常需要频繁向客户发送带附件的邮件。若规则设定为“外部邮箱+附件即告警”，大量正常业务行为会被误标为风险，严重干扰运营视线。
• 漏报盲区：研发人员平时几乎不外发邮件，某日突然外发带代码或技术文档的附件。从绝对数量看，该行为可能触发不了静态规则的阈值；但结合个人历史行为基线，这已是极度异常。
• 本质问题：固定规则“只管命中、不看上下文”，无法结合人员岗位、历史基线、行为上下文进行动态判断。当内部风险与外部未知威胁交织，传统手段往往顾此失彼。

日志易SIEM围绕“智能、协同、可视、高效”四大核心理念，深度融合AI与SOAR技术，打造一体化、可闭环的安全运营中枢。其中，检测规则+动态基线+智能研判的协同模式，正是应对上述挑战的核心方案。

02

四层协同机制：从“告警疲劳”到“精准聚焦”

① 行为基线构建   →  历史画像

② 当日异常筛查   →  离群检测

③ 新行为识别     →  语义匹配

④ AI智能研判     →  定性输出

03

技术实现：三大核心能力

1. 全量历史数据拉取与动态基线构建

基线构建的核心思路是为每个账户建立历史行为画像，而非对所有用户套用统一阈值。

通过日志易自研SPL（Search Processing Language）高效拉取全量历史行为数据。以DLP场景为例，排除压缩、下载等常见噪声行为后，提取方向、协议、部门、用户、文件类型等多维特征。对关键字段进行归一化语义处理，生成唯一MD5指纹，同时计算历史均值、日均频次、最后活跃时间等统计量，默认以7天数据作为基线。

基线规则支持版本回溯，配置变更可追溯、可回滚，保障策略调整的安全可控。同时结合资产暴露面信息，自动关联业务系统上下文，为基线计算提供更精准的组织维度。

2. 孤立森林算法与智能离群检测

当日行为筛查环节，系统提取当日日志，进行同样的多维特征提取与归一化语义处理，生成MD5后与基线库进行白名单匹配。

关键创新在于引入孤立森林（Isolation Forest）算法进行智能离群检测：

• 算法逻辑：通过随机分割数据空间，计算样本被孤立所需的平均路径长度。路径越短，异常概率越高。
• 工程价值：无需人工枚举成百上千条规则，对未知漏洞或高风险行为具有极高检出率，直接输出量化离群评分。
• 多维标记：基于评分结果，自动标记“高危离群全集”、“新行为”、“个人画像突变”等风险类型。‌‌

3. AI智能研判：可解释的风险结论

若当日生成的MD5指纹与基线库匹配失败，则判定为新行为。系统结合离群得分、激增倍数、敏感度等维度，调用AI接口进行深度研判。

平台提供多维研判能力：

五类风险标签：告警调用Workflow进行智能研判，输出“恶意、可疑、正常、不确定、忽略”五类标签，辅助分级处置。

推理过程透明化：AI智能分析以通用格式或Markdown完整展示推理过程，确保研判逻辑透明可审计。

‌三维解释框架：                                  

AI助手对话式交互

• 支持自定义智能体行为，通过调用脚本或剧本执行自动化任务；
• 对话中输入@剧本、@workflow、@chatflow即可触发相应流程，执行结果实时回显；
• 支持全局唤起，任意页面均可快速调用；
• 对话框内支持切换不同LLM（通义千问、DeepSeek、Azure OpenAI），灵活适配多场景语义理解需求。

最终，风险定性结论与标准化处置建议通过安全日报、飞书实时推送等多渠道闭环输出。

04

人机协同：自动化与可控性的平衡

SOAR剧本支持人工审核节点插入，自动触发通知，审核人点击即可直达页面完成确认，实现自动化流程中的人工确认闭环。同时提供剧本运行状态监控，实时展示“当前执行任务数”与“运行中任务数”，保障自动化流程的可观测性。人机协同边界设计：

• AI止步于“建议与初步定性”：AI擅长处理海量关联数据，基于孤立森林得分与激增倍数快速梳理事件脉络，判断风险等级。
• 人工保留“执行决策权”：账号冻结、网络阻断等动作，需人工结合线下真实业务场景最终裁定。
• 风险分级授权：高置信度、低误报场景可授权系统自动流转；高风险动作保持人机协同，由AI明确方向、人工确认执行。

05

与传统模式的对比

06

结 语

日志易SIEM以自研日志搜索引擎Beaver为底座，通过日志易SPL实现灵活的数据处理，以孤立森林算法突破规则枚举的局限，以AI研判实现从“数据”到“结论”的跨越——最终帮助安全团队从告警疲劳中解脱，将精力聚焦于真正的高优先级风险。

技术价值，终究要回归到人的效率提升。

近日，日志易入选了Gartner®发布的《中国智能IT监控与日志分析工具市场指南》（Market Guide for Intelligent IT Monitoring and Log Analysis Tools in China）。

Gartner®指出：中国的智能IT监控与日志分析工具涵盖多样化的产品组合，旨在利用AI增强IT运维能力，更好地满足不断变化的业务需求，并建议企业采取渐进式路径（智能监控→事件智能→可观测性），强调兼容性和成熟度匹配。

日志易可观测性监控平台——观察易

观察易的核心优势体现为智能化、全景化与企业级三大维度的深度融合。平台通过全新智能体中心提供流式对话、多轮问答与透明可视的根因分析（RCA）能力，结合中英文自适应的AI洞察，大幅降低运维排查门槛；同时以横向/纵向多视角拓扑、丰富的实体类型与关联分析能力，实现从基础设施到应用性能的全景观测，并支持灵活的视图定制与深度钻取。

在架构层面，观察易具备全流程多租户隔离与License分级管理，兼顾数据安全与不同规模团队的精准需求，配合完整的英文界面与出海适配，为企业提供可平滑升级、稳定可靠的国际化智能运维平台，助力团队更早发现问题、更快定位根因、更稳保障系统。

作为日志易旗下可观测性平台，观察易的产品架构与Gartner®倡导的演进逻辑高度契合：

观察易以模块化能力、全景化观测、企业级稳定，助力团队更早发现问题、更快定位根因、更稳保障系统，将IT性能与业务成果有效挂钩。

每年五一、国庆，都是出行高峰——机票预订量激增、系统高负载、团队连轴转。

但你注意到了么：黑产也在同步“加班”。

之后，某航空公司技术团队突然接到告警：客服投诉量异常飙升。客户反馈接到“航班取消补偿”诈骗电话，对方精准报出航班时间、票号、手机号。

排查指令很快下达：根据票号，查出票日到投诉日之间，所有行程相关的接口调用情况。

但问题接踵而至——日志量巨大、接口繁多且不固定等。传统方式需要先把相关时间范围的日志集中到一台主机，再通过手工或脚本逐步查找，最快也要半天时间。

技术团队应用日志易，5分钟完成全链路排查，锁定真凶——某第三方渠道利用非工作时段，对订票接口进行“少量多次”的数据爬取。

01

为什么黄金周成为数据泄露高危期？

1. 流量洪峰掩盖异常行为

• 正常查询量激增10倍，黑产的“少量多次”策略更易隐匿
• 凌晨2点的异常访问，被淹没在白天的海量日志中

2. 多系统协同放大攻击面

• 自营渠道、OTA、GDS、代理人系统……数据流转节点激增
• 任一接口失守，全链路客户信息暴露

3. 响应时效要求极高

• 一条投诉微博，能在登机口排队时炸开
• 监管关注、媒体跟进，“查不清”本身就是二次品牌伤害

传统排查方式依赖人工+脚本，效率低下、费时费力，无法满足旺季实时响应需求。

02

日志易三步构建高效排查能力

日志易基于统一日志平台，通过标准化接入、智能解析、可视化查询，为航空公司打造分钟级响应的数据安全排查体系：

1. 统一接入：全量日志归集

将电子商务系统相关的应用日志全部接入统一日志平台，打破数据孤岛。无论是订票系统、支付网关还是渠道接口，所有调用记录集中管理，为后续分析奠定数据基础。

2. 字段清洗：结构化解析关键信息

根据接口调用的请求和返回关键字，智能清洗出关键字段：

• 接口调用全局ID、Session ID——追踪单次请求全链路
• 接口名称——识别具体业务操作
• 接口请求参数、返回Body——提取票号等关键信息

通过正则解析、字段提取等能力，将非结构化日志转化为可查询的结构化数据。

3. 自动化查询看板：一键定位异常

通过SPL语句将排查逻辑和流程固化，构建自动化查询看板：

• 输入票号等关键信息
• 自动关联时间范围、Session ID、接口调用记录
• 可视化展示：谁访问、何时访问、返回了什么数据
• 支持钻取分析，快速识别异常接口或陌生来源渠道

从“半天甚至几天”缩短到“几分钟”，排查效率提升数十倍。

03

AI赋能：让排查更智能

04

核心价值

• 效率跃升：排查时间从半天/几天 → 几分钟，旺季投诉响应不再捉襟见肘
• 人力释放：工程师从重复性日志打捞中解放，专注核心安全策略
• 合规保障：全链路操作留痕，满足审计与监管要求
• 品牌守护：快速定责、及时处置，减少客户投诉与舆论风险

日志易收到朝阳区委及区政府的感谢信。信中对日志易的创新实践与实干贡献予以肯定，并向公司全体员工致以节日问候。

过去一年，日志易在AI赋能的安全运营、可观测性等领域持续深耕，同时扎根港澳、加速布局海外，业务拓展至多个国家和地区。这份成绩的取得，离不开区域营商环境的滋养，也离不开各方伙伴的支持。

新的一年，我们将继续以技术创新为驱动，服务全球客户，在更广阔的舞台践行"让数据创造价值"的初心。

感谢认可，砥砺前行。

新春顺遂，共赴新程。

云原生和微服务时代，构建和运维可靠、高性能的应用系统，已远非“写好代码”这么简单。在分布式系统中，一次请求可能横跨数十个服务、涉及多个团队和技术栈；微小的延迟或异常，都可能像多米诺骨牌般引发连锁故障。如果没有全面、实时的“眼睛”去看清系统内部状态，定位问题往往靠猜、靠经验主义，效率低下、成本高昂。

可观测性正是解决这个痛点的关键实践。

可观测性让你从外部数据“反推”系统内部状态。其核心价值体现在：

• 快速故障定位：传统监控只能告诉你“坏了”，可观测性能告诉你“为什么坏了、在哪坏了、影响了谁”。
• 提升开发效率：减少“排查时间”，从几天到几分钟，团队能够把精力放在业务创新而不是救火。
• 优化资源与成本：精准发现瓶颈，避免盲目加机器；理解真实负载，合理采样和降本。
• 支持业务决策：链路+指标+日志关联，能看到“这个功能慢了，用户流失率涨了多少”类似的闭环洞察。

要实现真正的可观测性，插桩（Instrumentation）是第一步，它决定了你能采集到什么样的遥测数据（Telemetry）。插桩主要分为以下几类：

• 手动插桩（Manual Instrumentation），开发者通过日志改造或者用OTel API/ SDK在代码里主动创建Span、加Attribute、记Metric/Log，侵入性最高，但最精准、最可控，适合业务关键路径、自定义指标、框架未覆盖的场景。
• 自动插桩（Automatic / Zero-code Instrumentation），不改业务代码，通过运行时机制自动生成遥测。自动插桩又分以下几种：

字节码注入（Bytecode Instrumentation）：Java、.NET主流。启动挂Agent（如Java Agent），JVM/CLR加载类时动态改写字节码，在方法前后插入Span创建/传播/结束逻辑（用ByteBuddy等工具）

猴子补丁（Monkey Patching）：Python、Node.js常用。运行时动态替换/包裹库函数（如Requests、Flask视图），在调用前后加观测钩子

模块加载钩子/Require Hook：Node.js特色，拦截模块加载时装饰函数

eBPF插桩：内核级探针或编译时修改，几乎零开销，但生态还在成熟

编译期插桩：Go等静态编译语言，在构建过程中通过抽象语法树（AST）操作转换源代码

语言运行时API：PHP 8.0引入的Observer API，在Zend引擎级别Hook到PHP引擎的执行流程

• 混合插桩：自动插桩覆盖基础设施，手动补业务细节 + 关键上下文。

刚开始，很多用户会选择自动插桩的方式，且上完之后没有进行迭代优化运营，容易产生很多问题。如果这些问题没有处理好，会导致信噪比下降、存储成本暴涨、查询性能变差等，而真正有价值的错误链路和业务洞察反而被淹没。

在《How to Reduce Telemetry Volume by 40% Smartly(Java)》一文中，以最常见Java Agent自动插桩为例，列举了最常见的一些问题：

1. URL路径和Target属性，HTTP客户端和服务器的自动插桩常常捕获完整的http.url或http.target属性。例如，如果你的RESTful接口路径带唯一ID（如/api/products/12345），每个不同的ID都会生成一个全新的属性值……这会导致无法有效聚合（比如无法把它们归到模板化的/api/products/:id路由下），最终产生数百万个无用数据点，也就是浪费的遥测数据。所以需要始终优先使用模板化的http.route，而不是原始路径。
2. 冗余Controller Spans在Spring MVC等框架中，自动插桩默认会为单个Web请求创建多个Spans（Server Span、Controller Span、View Span）。但在现代微服务中，Controller往往很薄（Thin），只是简单转发到Service或数据库。这种情况下，单独的Controller Span（比如显示耗时2ms）几乎没有额外价值，属于明显的冗余Spans。
3. 运行时遥测中的thread.name Java运行时指标（如jvm.network.io或jvm.memory.allocation）中默认带上thread.name属性。在使用大线程池或虚拟线程的环境下，这会造成无限数量的唯一时间序列，直接引发基数爆炸。
4. 重复的库插桩Java Agent会同时看到多个层（如Upper SDK→Apache HttpClient→Java Networking），为同一个逻辑操作创建多个嵌套Spans。这会导致outbound调用每次都翻倍甚至三倍的遥测量。
5. 资源属性，Kubernetes和主机指标的自动检测默认捕获动态唯一标识，如container.id、k8s.pod.uid或process.pid。每次Pod重启或容器重启，这些值都会变，瞬间制造出数千个死时间序列，干扰聚合、增加存储成本、显著拖慢长期趋势查询。
6. JDBC和Kafka内部信号，某些模块天生就很“话痨”（Chatty），为内部机制生成高频Spans，但诊断价值很低。例如jdbc-datasource模块每次从连接池取连接（getConnection()）就创建一个Span，导致成千上万条“只是确认连接池正常”的记录；Kafka也会为后台心跳和元数据检查产生过多Spans。这些都属于纯噪声。
7. 调度器和周期性任务，使用Spring Scheduling或Quartz的后台任务，如果每秒轮询一次数据库或缓存，但99%的时间都没什么有趣的事发生，却为每一次执行都生成Span。一天就能产生86400个成功的但毫无意义的Spans，这在大多数场景下就是遥测浪费。
8. SDK不对齐，某些框架（如Trino）会自己初始化独立的OpenTelemetry SDK，而不是加入Java Agent提供的全局实例。这会导致同一个JVM内运行两条并行的遥测管道，内存和网络开销翻倍，而且Spans缺少属性导致在标准查询中“隐形”，变成另一种遥测过剩。

日志易可观测性监控平台——观察易，通过端侧预防+数据遥测管道+后端自动检测等多种方式确保数据是高质量的，是真正有价值的。

1.端侧：提供启动参数主动关闭/抑制低价值部分，避免数据一开始就泛滥。

2.遥测管道修剪：提供图形化的管道处理方式，可以灵活的进行管道修剪，比如去掉动态属性如container.id、k8s.pod.uid、process.pid；Drop所有名为Poll、Heartbeat、GetConnection的Spans，后采样配置限制大量Span的Trace等。

3.后端自动检测：自动检测可观测数据质量，包括高基、属性缺失等。

上面只是简单列举了一些常见的问题，实际根据用户的业务、场景和技术栈的不同，会有很多不同的问题，要真正做好可观测性，需要承建方、使用方和Vendor方不断对齐，进行持续的治理和协作。观察易基于三大核心能力——自研高性能搜索引擎Beaver、低代码SPL语言、图形化数据处理平台——实现高效数据接入与高质量可观测数据构建，形成覆盖业务→服务→接口→基础架构的全景观测体系。

• 智能交互+AI能力：通过AI驱动的异常检测、根因分析和智能告警，帮你从海量噪声中快速挖出真信号。
• 全景视图：拓扑图、历史回溯、指标趋势一屏尽览，业务链路追踪+日志串联分析，故障定位从分钟级到秒级。
• 降本增效：内置多种处理器和采样策略，支持端到端遥测优化，实测可大幅降低存储和计算成本。
• 企业级适配：信创兼容、多云/多环境支持，已服务金融、政务、运营商等大型机构，安全合规无忧。

在网络安全领域备受瞩目的嘶吼2025网络安全“金帽子”年度评选活动中，日志易（北京优特捷信息技术有限公司）凭借卓越的实力与广泛的认可，从众多优秀企业中脱颖而出，荣获“年度杰出安全服务商”这一殊荣！

此次评选活动汇聚了上百家安全厂商的积极参与，共收录185项评选奖项，吸引了60000+张有效投票。评选涵盖七大奖项，旨在表彰那些在网络安全领域真正提升安全水位、推动产业进步的产品、技术、方案与企业团队。日志易能够在激烈的竞争中斩获“年度杰出安全服务商”奖项，是对我们在网络安全服务领域不懈努力与卓越成就的最好证明。

日志易自成立以来，始终致力于为客户提供高效、可靠、专业的网络安全服务。我们深知网络安全对于数字经济发展的关键支撑作用，因此在数据安全治理、AI创新落地、基础设施防护等重点方向上持续投入与创新。通过不断优化服务流程、提升技术水平、加强团队建设，我们构建了一套全方位、多层次的网络安全服务体系，为众多客户提供了定制化的网络安全解决方案，有效保障了客户的网络安全与数据安全。

此次荣获“年度杰出安全服务商”奖项，不仅是对日志易过往成绩的肯定，更是对我们未来发展的激励。我们将以此为契机，继续秉承“客户至上、技术创新、服务卓越”的理念，不断提升自身的专业能力与服务水平。在未来的发展中，日志易将进一步加强与各方的合作与交流，积极参与网络安全行业的各项活动，共同推动网络安全产业的发展与进步。

再次感谢嘶吼2025网络安全“金帽子”年度评选活动给予我们的这份荣誉，也感谢所有客户、合作伙伴以及社会各界对日志易的信任与支持。我们将不忘初心，砥砺前行，为网络安全事业贡献更多的力量，为数字经济的健康发展保驾护航！