Graylog、Splunk 与 Papertrail

除 ELK 与 Loki 外，企业日志还有 Graylog（开源 + 企业版）、Splunk（行业标杆）、Papertrail（轻量 SaaS） 等路径。本课帮助你在 合规、SIEM、托管、预算 维度做补充选型；通用方法论见 dob-logs，自建 ELK 见 dob-elastic，指标见 prometheus-essentials，DevOps 见 /roadmaps/devops。

学习目标

• 区分 Graylog Streams / Pipelines 与 Splunk Index / SPL 模型
• 知道 Papertrail 适合 小团队快速接入 syslog
• 评估 SIEM 需求（安全关联）是否必须上 Splunk 或 Elastic Security

Graylog

• 存储：OpenSearch/Elasticsearch 后端，MongoDB 存配置
• 亮点：Pipeline 规则引擎（grok、geoip、drop），Streams 路由到不同 index
• 部署：Docker Compose 三件套 graylog + mongo + opensearch

App / Syslog / Beats
    └─ Graylog Input（GELF、Beats）
         └─ Pipeline 解析 enrichment
              └─ Stream → Index Set
                   └─ Dashboard / Alert

适合 中等规模、希望比 raw ELK 多一层路由与告警 且愿自建的团队。

Splunk

• SPL（Search Processing Language） 强大，apps 生态丰富（K8s、AWS、Security）
• 许可：按 ingest GB/day，成本显著高于开源
• 场景：金融、政企 合规审计、SOC、SIEM 标配

index=coderoadmap level=ERROR trace_id=abc123
| stats count by exception
| sort - count

若仅需应用日志排障、无 SOC，Splunk 往往 overkill；可先用 Loki 或 Datadog Logs。

Papertrail

• SolarWinds Papertrail：托管 syslog，分钟级接入，全文搜索简单
• 适合：Heroku、小 VPS、创业团队 不想运维 ES 集群
• 限制：长期归档、复杂关联弱于 ELK/Splunk

方案	运维负担	全文/分析	典型场景
Graylog	中	强	自建 + 管道路由
Splunk	低（SaaS）/ 高（自建）	最强	合规、SIEM
Papertrail	极低	中	小团队 syslog
Loki	中	label 为主	K8s + Grafana

练习

• 为 CodeRoadMap 选一种日志方案并写 200 字理由（团队 3 人 vs 300 人）
• 在 Graylog 概念上设计一条 Pipeline：JSON 解析 + 丢弃 DEBUG
• 对比 Splunk GB/day 许可与 Loki 对象存储成本的量级差异

小结

Graylog 填补自建 ELK 的可运维性，Splunk 服务合规大单，Papertrail 解决「先能看见日志」。 下一课转向基础设施监控经典 Zabbix。