绿盟日志审计系统（以下简称NSFOCUS LAS）是绿盟科技结合多年安全经验推出的基于大数据架构的新一代日志审计系统，通过内置的日志采集功能可实时采集不同厂商的安全设备、网络设备、主机、操作系统以及各种应用系统产生的日志信息，然后经过统一的日志管理过程，如日志范式化处理等，将采集来的海量的异构的日志信息进行集中化的解析和存储，结合资产管理模块、事件告警模块的相关规则以及配置，形成事件告警信息，用户可基于这些进行进行原始日志、范式化日志以及事件、告警等信息的查询，并可通过丰富灵活的日志报表功能进行可视化的查看，实现对日志的全生命周期管理，主要用于海量异构采集分析、合法合规等场景。

日志管理功能

l 支持对安全设备、网络设备、主机设备、应用系统、中间件等的海量日志采集

l 支持异构日志的统一范式化处理

l 支持原始日志、范式化日志的存储，可自定义存储周期

l 支持丰富灵活的日志查询方式、便捷的日志分析操作

l 支持多种日志存储扩展方案

l 支持外置采集器

l 支持IPv4、IPv6部署以及日志采集

日志转发功能

l 支持原始日志、范式化日志的转发

事件告警

l 支持自定义事件规则、丰富的内置事件规则

l 支持事件的查询、统计、分析展示等

l 支持自定义事件告警规则以及告警通知方式

资产管理

l 支持对资产进行分组、增加、删除、修改、查询、备份回复等操作

l 支持资产下钻资产查看相关的日志、事件等信息

报表管理

l 支持丰富的内置报表以及灵活的自定义报表

l 支持实时报表、定时报表、周期性任务报表等方式

l 支持html，pdf，word格式的报表文件以及报表logo的灵活配置

u 全面集中的日志管理

NSFOCUS LAS采用当前最为流行高效的大数据架构，支持高性能的多端口采集、高适应性的日志采集，可基于主流协议实时采集不同厂商的安全设备、网络设备、主机、操作系统以及各种应用系统产生的日志信息。经过高效的统一处理日志，结合基于规则的事件分析以及交互式语义提供非常灵活的事件分析规则以及交互式查询方式，提供内置的丰富报表模版、灵活自定义的报表模版功能、可按需配置的可视化统计图表。此外， NSFOCUS LAS提供可灵活扩展的存储方案，可满足等保合规等法律法规规定的日志存储需要。

u 全面集中的日志管理

NSFOCUS LAS支持SYSLOG、SNMP Trap、FTP、JDBC/ODBC等多种日志采集方式，支持但不限于如下厂商设备的日志采集：

NSFOCUS LAS可支持有代理和无代理两种日志采集方式和多种标准协议。通过数据采集、数据理解引擎、数据抽取和数据清洗等操作，将各种应用系统和设备的日志进行预处理，帮助管理员把海量日志进行去噪，提取其中人们事先不知道，但有潜在有用的信息和知识，进行事件关联分析。

u 独家数据强化技术

NSFOCUS LAS根据绿盟科技对攻防研究的长期积累，提供一套简洁有效的日志统一分类，使用独有的技术将日志快速标准化，并基于安全分析需要进行数据的过滤和强化，丢弃无法用的噪音信息，提升日志查询和分析效率。

u 海量的日志处理能力

NSFOCUS LAS使用大数据技术，在并发内存内处理机制方面能够带来数倍于其它采用磁盘访问方式的解决方案，借助离线计算引擎在小时级别内，即可完成对海量日志的处理。

u 全面支持IPv6部署以及数据接入

绿盟日志审计系统 (NSFOCUS LAS)支持IPv6的部署以及IPv6环境下的日志采集、分析以及检索查询。

NSFOCUS LAS支持单机部署以及采集器分布式部署两种模式。单机部署是最简洁的系统部署模式，适用于大部分企业客户的网络环境。在单机部署场景中，用户仅需要一台绿盟日志审计系统 (NSFOCUS LAS)，其内置的日志采集器可以收集设备对象的日志信息并进行范式化处理、分析、集中存储等。用户可以通过浏览器登录日志审计系统的交互界面，并根据相应的权限进行各种管理操作。

采集器分布式部署是一种很经典的模式，是指将日志采集功能采用分布式部件进行部署的模式。适用于如下几种情况：

i. 管理节点规模较大且分散在物理网络中的多个位置。

ii. 被管理节点与绿盟日志审计系统(NSFOCUS LAS)不在同一个逻辑网络中，例如之间存在安全网关、防火墙、网闸隔离、或者有NAT地址转换。

iii. 被管理节点与绿盟日志审计系统(NSFOCUS LAS)所在网络是跨广域网链接的，且广域网接入的带宽容量有限。

在采集器分布式场景中，通过在被管理节点处就近部署分布式的日志采集器采集数据，日志采集器承担了日志采集范式化相关工作，支持日志过滤，可提升绿盟日志审计系统(NSFOCUS LAS)的处理能力。日志采集器在采集数据后通过压缩加密的方式传输给绿盟日志审计系统(NSFOCUS LAS)，可降低网络负载。此外，当被管理节点与绿盟日志审计系统(NSFOCUS LAS)不在同一个逻辑网络中（如有安全网关、防火墙、网闸隔离、或者有NAT地址转换）时可以通过部署分布式日志采集器节点进行中继。