Graylog 是做什么的
Graylog 是一套开源的集中日志平台：通过 GELF 或 syslog 输入接收日志，用 Extractor 从消息里提取字段，用 Stream 把消息分流到不同处理路径，并可按条件触发告警。它适合中小规模的日志集中管理，部署成本低于完整的 SIEM 方案，但字段与索引设计要在接入之前想清楚，否则后期返工量很大。
基本信息
| 输入 | GELF、syslog 等输入类型，按来源设备选择 |
|---|---|
| 处理 | Extractor 提取字段，Stream 分流与路由 |
| 告警 | 按条件触发通知，可对接邮件或即时通讯 |
| 运维 | 关注索引轮转、磁盘容量与后端集群健康 |
典型使用场景
- 中小规模集中日志：把防火墙、IPS、服务器日志汇聚到一处
- 字段化检索：把 syslog 文本提取为可筛选字段
- 按业务分流：不同来源日志进入不同 Stream，便于分权查看
- 关键条件告警：特定规则命中或特定来源登录时通知值班
- 容量运维：按索引轮转与磁盘增长安排扩容
使用要点
使用要点
# 1. 按设备类型规划 Stream，避免所有日志混在一个流里
# 2. 用 Extractor 提取源地址、目的地址、规则编号等关键字段
# 3. 关键条件配置告警，并验证通知实际送达
# 4. 定期检查索引轮转设置与磁盘使用率
# 5. 设计字段结构先于提取器配置，减少后期返工组件与职责
| 组件 | 职责 | 常见问题 |
|---|---|---|
| 输入 Input | 接收 syslog 或 GELF 消息 | 端口或协议与实际发送方不一致 |
| 提取 Extractor | 从消息中解析字段 | 规则与日志格式不匹配，字段为空 |
| 分流 Stream | 按条件路由消息 | 条件写错导致日志进入错误管道 |
| 告警 Alert | 条件满足时发出通知 | 阈值不合理，告警过多或过少 |
字段结构先设计再接入：接入之后再调整提取器，往往要重新处理历史数据，或者接受新旧字段并存的混乱状态。