为什么需要关联分析？

随着集群化、云化、微服务化的架构趋势，IT环境日趋复杂，往往单个事件会在多个设备或应用中留下痕迹，这些信息通常保存在不同的位置，在物理上大都是孤立隔绝的。一旦出现安全事件或系统发生故障，安全与运维人员需要查看多个设备或应用的相关日志分析，才能够通过溯源问题发生的整个过程，从而定位问题。此种方式下存在如下痛点：

• 痛点1：事件日志分散难以溯源故障

随着集群化、云化、微服务化的架构趋势，IT环境日趋复杂，往往单个事件会在多个设备或应用中留下痕迹，这些信息通常保存在不同的位置，在物理上大都是孤立隔绝的。一旦系统发生故障，运维人员需要查看分析多个设备或应用的相关日志，运维效率低下。

• 痛点2：业务相互关联，发生异常时难以还原事件链路

不同部门的业务往往相互关联，服务发生异常时往往涉及到多个业务系统，需要还原整个事件的调用链路以分析异常原因，找到故障源头。由于不同业务系统的日志分散，运维人员需要人工查看不同业务系统日志，难以快速还原事件链路。

• 痛点3：异常行为响应被动，难以实现事中告警

在传统运维中，需要关联多个业务系统日志才能识别的异常行为每次都需要手动查看，异常发生时很被动，运维人员往往无法及时做出响应。