作者：奇安信服务端技术专家，舒鹏
导读： 数智时代的到来使网络安全成为了不可忽视的重要领域。奇安信作为一家领先的网络安全解决方案领军者，致力于为企业提供先进全面的网络安全保护，其日志分析系统在网络安全中发挥着关键作用，通过对运行日志数据的深入分析，能够对漏洞和异常行为生成关键 见解，帮助企业建立有效的防御策略。本文将深入探讨奇安信在网络安全与日志分析解决方 案的关键优势，了解基于Apache Doris构建的全新一体化日志存储分析平台如何实时监测和分析日志事件，加强对可疑活动的追踪与应对，提升系统安全性与快速响应能力。
奇安信是中国企业级网络安全市场的领军者，专注于为政府和企业用户提供新一代网络安全产品和服务。目前核心产品天擎终端安全系统在国内已有4000 万政企用户部署、全国部署服务器超过100 万台、服务超40万大型机构。作为网络安全国家队，奇安信立志为国家构建安全的网络空间，在终端安全、云安全、威胁情报、态势感知等领域的技术研发持续领先。
随着现代企业数字化转型的不断深化，大数据、物联网、5G 等创新技术的广泛应用加速了企业的数字化转型步伐，这使得原先的网络边界被打破，多源多样的终端设备成为了新的安全边界。
网络安全系统的防御性能与日志分析密不可分，当网络设备、操作系统以及应用程序在运行时，会产生大量的运行日志，其中蕴涵了丰富的数据价值。最大化地利用运行日志数据能够有效检测内部系统的安全风险、还原攻击路径、回溯攻击入口等，可以进一步提升系统安全性、保障企业网络安全，因此日志分析系统在其中发挥着不可或缺的作用。
本文将介绍奇安信在网络安全场景中，基于 Apache Doris 进行架构升级迭代并建设全新一体化日志存储分析平台的实践经验。
早期架构痛点与需求
安全日志平台的架构如下图所示，原始的设备、系统日志首先经过业务处理环节，包括归一化和扩充维度等操作。这些处理步骤旨在将来自不同设备和系统日志转化为半结构化JSON 格式的安全日志，并将其写入Kafka 消息队列中。
最新的日志会被写入实时数仓，安全分析师可以通过分析平台对实时数仓中的最新数据进行交互式查询，从而进行攻击研判和追踪溯源等安全分析工作。另外，离线数仓用于保存历史数据，以支持长周期数据挖掘的离线分析。
在以上日志数据平台中，日志数据的写入速度与查询对上层业务人员进行实时安全事件监控和分析至关重要，这也是当前我们所面对的最主要痛点。
一方面，每天所生产的安全日志数据达到千亿级，写入压力很大。最初我们选择使用某 Apache Doris的 Fork版本来存储日志数据，但在实际应用中，随着每天新增日志量的不断增长，入库速度逐渐降低、集群写入压力过大、高峰期数据积压严重，对集群稳定性造成很大影响，并且数据压力较高时、查询效率也达不到有效果的保证。随后我们对集群进行多次扩容，从3节点逐步扩容到13节点，尽管机器成本已经大幅超过预期、但写入效率并没有发生本质的改善。
另一方面，业务人员在进行安全日志分析时，经常需要对文本字段(如URL,payload 等)进行关键字匹配。在原系统中只能通过SQL LIKE进行全量扫描和暴力匹配，整体查询性能不佳，千亿级数量的数据表查询耗时接近分钟级甚至达到数百秒，即便按照时间区间过滤大量数据后、查询耗时仍在数秒到数十秒。一旦遇到并发查询性能还会恶化，很难满足日常安全分析需求。
除写入和查询效率以外，运维监控也是我们的痛点之一，该厂商提供的可视化运维系统需要商业
License授权，对于开源社区用户不友好，集群维护处于原始手动状态。
架构选型与升级的思考
为了解决过去版本的痛点、满足更高效实时的日志分析诉求，我们亟需对早期系统升级改造。同
时面向安全日志分析场景，我们也对新日志分析平台的架构提出了更高的要求：
●写入性能：系统一方面需要支持海量病毒查杀事件等数据实时写入与存储，以满足分析时效性的要求，另一方面需要基于日志数据SchemaFree 特点支持丰富数据类型的写入与变更。
● 查询性能：由于日志查询分析会涉及对文本类型、JSON 数据进行全文检索、日期或普通数值的范围查询，系统需要对字符串提供模糊查询的能力，还需要支持能够灵活创建且类型丰富的索引，以加速筛选过滤海量数据，提升查询效率。
●存储成本：设备每天产生大量的日志数据，为了挖掘这些有价值的日志信息，业务人员还需要从数据中进行筛选和分析，并对异常日志回溯追踪，这使得日志存储的规模很大、存储周期相对较长，因此高性价比的存储成本也是系统构建的目标之一。
●运维成本：系统自身运维简易程度以及是否具备合适的管控工具都能帮助我们进一步提效。
在持续关注业界OLAP数据库的过程中，我们发现Apache Doris最近一年的发展非常迅猛，最新的2.0版本也把日志存储和检索分析作为新的发力点，推出了倒排索引、NGram BloomFilter 索引等特性，对关键词检索、LIKE 文本匹配的性能有大幅提升，与我们文本检索慢的痛点需求非常契合，因此开启了新架构的升级之旅。
架构升级之旅
上文中提到，在整体架构选型过程中我们主要关注的地方包括写入性能、查询性能、数据存储成本以及运维成本等方面。在架构升级过程中，我们选择了Apache Doris 当时最新发布的2.0版本，具体升级收益如下。
写入性能提升超200%
为了评估 Apache Doris写入的极限性能，我们初期使用与线上系统相同配置的3 台服务器，从Kafka 接入线上真实写入流量，测试期间当 CPU 写入效率跑满至100%时写入吞吐达到了108万条/s、1.15GB/s,写入数据的可见性延迟保持在秒级。
而线上运行的原系统集群规模达13 台，在同样的数据写入情况下，CPU 利用率30%左右、写入吞吐仅30万条/s, 并且存在高峰期CPU Load高、系统响应慢的问题。
根据测试结果，我们预估架构替换为Apache Doris 后保持同样30%的CPU 占用，只需要3台服务器即可满足写入需求，机器资源成本至少节约70%。值得注意的是，在测试中对Apache Doris 表中一半字段开启了倒排索引，如果不开启倒排索引的话，写入性能在之前基础上还能够
再提升50%左右。
更多精彩内容，欢迎观看：
带你读《Apache Doris 案例集》——07查询平均提速700% ，奇安信基于 Apache Doris 升级日志安全分析系统（2）：/article/1405709
