XProtect серверные компоненты создают записи журнала для системных действий, событий и ошибок. Компоненты, работающие на сервере управления, отправляют записи журнала в OpenTelemetry Collector с использованием протокола OpenTelemetry Protocol (OTLP). В распределенных развертываниях записи журналов компонентов на других машинах маршрутизируются через шлюз API до того, как они достигнут сборщика данных.

OpenTelemetry Collector пересылает данные журналов в службу обработки журналов. По умолчанию это VictoriaLogs.

В них можно просматривать системные и контрольные журналы, а также журналы правил XProtect Management Client. На странице "Журналы серверов" можно выполнять поиск, фильтрацию и анализ записей журнала для расследования системной активности, действий пользователей, событий и ошибок.

Управление некоторыми параметрами ведения журналов, включая хранение и сбор данных, осуществляется извне XProtect Management Client через OpenTelemetry Collector и файлы конфигурации VictoriaLogs.

OpenTelemetry — это открытый стандарт для сбора и передачи данных телеметрии, включая журналы. XProtect использует протокол телеметрии OpenTelemetry Protocol (OTLP) для отправки данных журналов между компонентами инфраструктуры ведения журналов.

Использование OTLP делает инфраструктуру ведения журналов более гибкой. В дополнение к стандартной настройке с VictoriaLogs, вы можете подключить систему к внешним решениям для ведения журналов или мониторинга, которые поддерживают OTLP.

Дополнительные сведения см. в документации по OpenTelemetry: https://opentelemetry.io/docs/specs/otel/logs/

Для работы системных и контрольных журналов, а также журналов правил на сервере управления должна быть запущена служба OpenTelemetry Collector.

OpenTelemetry Collector получает данные журнала от XProtect компоненты сервера и передает их в настроенную службу обработки журналов. По умолчанию это VictoriaLogs.

VictoriaLogs служит обработчиком базы данных журналов для XProtect ведение журналов, хранение журналов, выполнение запросов и анализ. Он заменяет базу данных журналов на базе SQL Server, которая использовалась в предыдущих версиях XProtect.

Данные журналов доступны на странице "Журналы сервера" в следующих разделах XProtect Management Client.

По умолчанию системные журналы и журналы правил хранятся в течение 7 дней, а контрольные журналы — в течение 30 дней. Старые записи журнала автоматически удаляются по истечении периода хранения. Параметры хранения можно изменить в файлах конфигурации VictoriaLogs, хранящихся на сервере управления. Дополнительные сведения см. в разделе Настройка политики хранения журналов.