H3C 综合日志审计平台
用户FAQ
本文档介绍H3C
SecCenter CSAP-SA-900综合日志审计平台（以下简称综合日志审计平台）的用户常见问题及解答。
1 安装部署
综合日志审计平台如何安装使用？
综合日志审计平台CSAP-SA-900产品是平台与主机一体化发货，出厂预装软件版本，用户只需简单配置网络后即可使用。
2 日志采集
最多支持接入多少日志源？
CSAP-SA-900 综合日志审计平台的平台基础授权默认包含512个日志源授权（包含agent）
CSAP-SA-900 综合日志审计平台的平台支持以32个、64个、128个日志源有限节点扩容，以及无限日志源节点的扩容形式，最多可支持无限日志源节点。
主机日志怎么接入综合日志审计平台？
·
Linux主机日志可以通过配置syslog服务将日志发送到日志审计平台。
·
提供agent数据采集方案，在Linux或Windows主机下载并安装Agent代理，Agent将收集并分析主机日志后发往综合日志审计平台。
应用日志怎么接入综合日志审计平台？
·
如果应用所在服务器为Linux系统，可以配置syslog服务将应用日志发送到日志审计平台。
·
在应用所在主机下载并安装Agent代理，Agent将收集应用日志发往综合日志审计平台。
·
Agent采集数据库日志，需要单独在Agent管理中配置对应Agent采集数据库日志，否则不进行采集。
3 日志适配
综合日志审计平台支持对哪些设备上送的日志进行分析？
在平台“配置 中心> 数据源管理 > 日志源管理 >新增”页面下拉框中相关设备均支持解析，可能存在设备版本日志格式变更导致适配不兼容场景，可等待后续解析规则更新。
接入的设备日志与综合日志审计平台的日志类型如何对应？
平台收到日志后，会按照内置规则对接入日志进行归一化分类，在【系统管理-数据来源-日志源管理】下新增日志源配置上报协议时，可查看当前平台归一化的日志类型。
日志源添加时在下拉列表中找不到对应的设备怎么处理？
日志源添加时在生产厂商或资产类型或型号下拉列表中找不到对应的选项，表示系统不支持对该设备日志进行适配，可以将其厂商、资产类型、型号均配置为其他，配置为其他后平台仅支持收集、存储、查询该设备上报的日志，但不进行分析。如有分析需求可购买日志适配定制化服务。
是否支持自定义适配规则？
支持，登录日志审计平台，在“配置中心>
数据源管理> 适配规则管理”页面，可新增自定义适配规则用于解析日志，新增自定义适配规则后，会优先使用自定义适配规则进行日志解析。
如何购买日志适配定制化服务？
若客户网络中存在其它第三方厂商日志不适配的情况，需要进行定制化开发时，请与当地销售人员联系。
4 日志存储
日志审计平台日志量达到最大存储空间后是怎么处理日志？
缺省情况下，日志存储180天（时间阈值）或平台磁盘存储的日志量达到磁盘总容量的95%（空间阈值），达到任意条件后平台将自动删除日志，删除时从存储时间最早的日志开始删除，低于空间阈值不再继续删除。用户可在“配置中心 > 全局设置 > 数据清理设置”页面修改阈值，最大存储阈值可设置为1095天，即最大支持3年日志存储。
5 告警管理
如何将综合日志审计平台告警功能与用户短信、邮件网关对接？
当前短信仅支持对接亿美、嘉讯、邮储短信平台，如需定制化开发时，请与当地销售人员联系。邮件仅支持对接SMTP协议的邮件服务器，并且服务器上不能开启SSL功能。
6 License
Server
综合日志审计平台是否支持通过License Server申请授权？
CSAP-SA-900 综合日志审计平台产品暂不支持LicenseServer授权方式，等待后续功能更新。
7 系统设置
综合日志审计平台是否支持通过Web页面修改系统IP地址？
支持，可在“配置中心 > 系统管理>全局设置
> 平台网络设置”页面修改系统IP地址。
综合日志审计平台是否支持后台修改IP？
不支持，如需修改地址请登录平台后在“配置中心 > 全局设置 > 平台网络设置”页面修改。若已从后台修改地址导致平台功能不可用，请参考《H3C SecCenter CSAP-SA[-V][-C][-B][-D][-AK9570]综合日志审计平台 故障处理》相关指导恢复。
综合日志审计平台是否支持后台修改系统时间？
不支持，如需修改时间请登录平台后，在“配置中心 > 系统管理>全局设置
> 时间管理”页面进行修改。若已在后台修改时间导致平台功能异常，可在时间管理页面再次修改进行恢复。
综合日志审计平台是否支持NTP同步系统时间？
支持，可在“配置中心 > 系统管理>全局设置
> 时间管理”页面“开启NTP时间同步”功能并配置NTP服务器地址。
在要求的分辨率下，缩放浏览器后，界面显示异常？
界面缩放后，分辨率会产生变更，导致显示异常，恢复 100%展示即可，重启浏览器。