日誌蒐集及管理

本文介紹日誌蒐集及管理的技術方案與工具，涵蓋開源軟體選擇、Windows 事件日誌集中化的情境建議，以及對應 ISO 27001 的日誌保存與監控要求。

常用日誌蒐集開源軟體

Graylog（開源日誌集中管理系統）

• 可在 Windows 10/11 上使用 Docker 安裝 Graylog（有對應教學文章）
• 提供事件管理強化功能，適合作為日誌集中查詢與分析平台

NXLog CE（開源日誌收集轉送工具）

• 輕量級的日誌收集解決方案
• 適合部署在端點或伺服器上，將日誌轉送到集中平台

事件檢視器日誌自動蒐集到 NAS 的情境建議

依需求規模分為三種情境：

情境一：單機、量少、簡單存

• 建議直接使用 NXLog 收集並轉存
• 參考資源：NPartner Windows Server Audit NXLog 技術文件

情境二：多機、大量日誌、需要查詢分析

• 建議由 NXLog 轉送至 Graylog 或 ELK 進行集中管理
• 原始頁面提供多個實作參考連結

情境三：系統日誌生命週期管理

• 日誌管理不只是「存下來」，需完整經過儲存、備份、封存、查詢、分析的生命週期流程
• 建議採用專業工具：Splunk、ELK、Graylog 等

Windows 系統日誌保存與監控

• 「Windows 日誌管理與稽核制度」設計文件（原始頁面提供連結）
• Allan Lo 在 iT 邦幫忙發布的自動化日誌異常監控設計範例
• 對應 ISO 27001 控制項要求：
  • 8.15 存錄（Logging）
  • 8.16 監視活動（Monitoring activities）

延伸比較

原始頁面嵌入了一份 Google 文件：「Graylog 和 LibreNMS 的比較」，比較兩者在日誌管理與網路監控上的定位差異。

完整比較文件與實作連結請見原始資料：日誌蒐集及管理（舊站）