Graylog Security

提供安全事件关联分析、威胁情报匹配、异常行为检测、合规审计报表（PCI DSS、HIPAA、SOX）、自定义告警规则和事件响应工作流。内置Sigma规则引擎，支持从开源社区导入检测规则，相比基础版Graylog增强了UEBA用户行为分析和威胁狩猎能力。

采用订阅制，按每日摄入日志量（GB/day）计费，起步价约每年1.5万美元起。开源Graylog免费但无安全分析功能。产品分Standard、Enterprise、Security三个层级，Security版包含高级检测规则、合规包和7×24技术支持，可按节点数扩展。

适合中等规模企业（日志量100GB-2TB/天）、需要满足合规审计的金融和零售业、希望统一管理多云环境日志的IT团队，以及已有Splunk但预算紧张的运维团队。不建议超大型企业或纯云原生初创公司，后者更适合Microsoft Sentinel。

支持本地私有化部署（Linux服务器，至少3节点集群）、Docker/Kubernetes容器化部署，以及AWS、Azure、GCP云市场一键部署。硬件最低配置建议8核CPU、16GB内存起步，生产环境建议SSD存储和高可用架构，日志保留期可配置30-365天。

相比Splunk，价格低60-80%，部署更快（数小时vs数周），但高级机器学习和应用性能监控较弱。相比Elastic Security，UI更友好、告警配置更简单，但搜索性能在大数据量时不如Elastic。核心优势是开源生态丰富、Sigma规则兼容、TCO可控。