| 记录内容 | 五元组 + 动作（ACCEPT/REJECT）+ 字节/包数，采样周期级 |
|---|---|
| 用途 | 安全审计（异常外联）、排障（谁在丢包）、流量画像 |
| 投递 | 日志服务 SLS / 对象存储 / Kafka |
| 成本 | 按日志量计费；大流量环境先估算成本与采样率 |
流日志分析示例（日志查询口径）
流日志分析示例（日志查询口径）
查 REJECT：action = REJECT and dst_port = 3306
查外联：dst_addr not in 10.0.0.0/8 and action = ACCEPT
看 TOP 会话：按 src_addr, dst_addr 聚合计数流日志是『网络层摄像头』：安全事件回溯（如数据外传）时，它比主机日志更完整。