安全设备选型

日志审计怎么选：4.3 万和 14.3 万买的是同一件事吗

同样叫「日志审计」，2026 年政采成交价从 4.3 万到 14.3 万，差 3.3 倍。差别不在能不能收 syslog，而在日志源授权、EPS 口径、留存天数与是否含解析规则包。用 7 个真实项目单价讲清定档方法。

更新于 2026-11-01约 10 分钟读完参数来自厂商公开资料与政府采购公示

日志审计是等保三级里最「不起眼」的一项，也是最容易被报价单绕进去的一项。设备长得都差不多，都能收 syslog，但 4.3 万和 14.3 万的差别不在硬件，而在三个授权数字：能接多少个日志源、每秒能处理多少条、原始日志留多久。

一、先分清你要的是哪一类设备

设备类型	核心能力	典型预算	什么时候选它
日志审计（LAS）	收日志、存日志、按关键字与规则告警	4 万–15 万	等保合规为主，只需要「查得到、留得住」
日志审计 + 关联分析	在 LAS 基础上做跨设备关联规则、攻击链还原	10 万–30 万	要求能还原一次完整攻击过程
SIEM / 态势感知	关联分析 + 资产画像 + 威胁情报 + 大屏	30 万起	省级、行业级平台，有专职运营人员
数据库审计	只审数据库协议（SQL），不是主机日志	6 万–18 万	等保「数据库审计」单项，别用日志审计顶替

最后一类是常见错配：招标要「数据库审计」，投标拿「日志审计」当响应，验收时发现看不到 SQL 语句——两者审计对象完全不同。

日志审计的输入是 网络设备、安全设备、服务器、中间件、应用的日志（syslog、snmp trap、文件采集、API 对接）；数据库审计的输入是 数据库流量（TNS、MySQL、PostgreSQL 协议解析）。同名「审计」，一个是收报文，一个是拆协议。

档位	日志源授权	处理能力（EPS）	存储与留存	对应场景
入门	10–30 个	1,000–3,000 条/秒	内置 1–2TB，原始日志 30–90 天	单机房、几十台设备的小型单位
中端	50–100 个	5,000–10,000 条/秒	2–4TB，全量 6 个月	区县级单位、高校、医院
高端	200 个以上	20,000 条/秒以上，支持万兆采集	外挂存储或集群，12 个月以上	市级政务云、集团总部、省级单位

档位划分参考库内 7 个 2026 年政府采购项目的型号与单价区间；同一厂商不同型号的 EPS 差距可达 20 倍，比价必须对齐型号。

一句话结论定档只问一句话：这个单位全网一天产生多少条日志？ 不知道就先做 7 天采样。20 台安全设备满负荷告警时一天能出上千万条，按「设备数」买设备是拍脑袋。

EPS（Events Per Second，每秒日志条数）至少有四种写法，报价单上只会写一个数字，你不问清楚就是给自己挖坑：

常见坑验收时别只看界面「已接收 X 条」。让厂商用 `logger` 或 `nc` 打一段固定条数的测试流（比如 10 分钟持续 5,000 EPS），核对接收条数是否 100% 落库、有无时间戳乱序。这一步能筛掉一半虚标型号。

《网络安全法》第二十一条要求「采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月」；等保三级 GB/T 22239-2019 同样要求审计记录留存不少于六个月。这条是硬要求，也是报价里最容易缩水的地方。

粗算公式：日增日志量 × 180 天 ÷ 压缩比 = 需要的裸容量。日志文本压缩比通常在 8:1 到 15:1 之间，但索引本身会占 20%–30%。一台标称「内置 2TB」的设备，在实际日增 30GB 的场景下只能留两个月，剩下的四个月要么外挂存储，要么被静默滚动删除。

数据来自库内 2026 年政府采购与招投标公示（项目名与单价可在案例库按厂商筛选核对）。单价含税与实施，但各项目包含的服务年限、日志源授权数量不同，仅作量级参考，不能直接当报价依据。

同样一台「万兆日志审计」，4.3 万和 14.3 万的差距通常来自三处：日志源授权数（30 个 vs 200 个）、是否含万兆采集卡、维保年限（1 年 vs 3 年）。谈价时把这三项拆出来单列，比整体砍价有效。

本站可对比的型号

这四款都在 2026 年政采项目里中标，单台成交价 4.3 万（网御星云）到 14.3 万（安恒 DAS-LOG-1280），型号与价格可直接对照自己的预算档位。

一句话结论如果预算只够买一台设备，优先买 日志审计 而不是态势感知。日志是取证的地基，态势感知是地基上的可视化——地基没有，大屏再漂亮也还原不出一次入侵。