Graylog、Splunk 与 Papertrail

除 ELK 与 Loki 外，企业日志还有 Graylog（开源 + 企业版）、Splunk（行业标杆）、Papertrail（轻量 SaaS） 等路径。本课帮助你在 合规、SIEM、托管、预算 维度做补充选型；通用方法论见 dob-logs，自建 ELK 见 dob-elastic，指标见 prometheus-essentials，DevOps 见 /roadmaps/devops。

学习目标

• 区分 Graylog Streams / Pipelines 与 Splunk Index / SPL 模型
• 知道 Papertrail 适合 小团队快速接入 syslog
• 评估 SIEM 需求（安全关联）是否必须上 Splunk 或 Elastic Security

Graylog

• 存储：OpenSearch/Elasticsearch 后端，MongoDB 存配置
• 亮点：Pipeline 规则引擎（grok、geoip、drop），Streams 路由到不同 index
• 部署：Docker Compose 三件套 graylog + mongo + opensearch

App / Syslog / Beats
    └─ Graylog Input（GELF、Beats）
         └─ Pipeline 解析 enrichment
              └─ Stream → Index Set
                   └─ Dashboard / Alert

适合 中等规模、希望比 raw ELK 多一层路由与告警 且愿自建的团队。

Splunk

• SPL（Search Processing Language） 强大，apps 生态丰富（K8s、AWS、Security）
• 许可：按 ingest GB/day，成本显著高于开源
• 场景：金融、政企 合规审计、SOC、SIEM 标配

index=coderoadmap level=ERROR trace_id=abc123
| stats count by exception
| sort - count

若仅需应用日志排障、无 SOC，Splunk 往往 overkill；可先用 Loki 或 Datadog Logs。

Papertrail

• SolarWinds Papertrail：托管 syslog，分钟级接入，全文搜索简单
• 适合：Heroku、小 VPS、创业团队 不想运维 ES 集群
• 限制：长期归档、复杂关联弱于 ELK/Splunk

方案	运维负担	全文/分析	典型场景
Graylog	中	强	自建 + 管道路由
Splunk	低（SaaS）/ 高（自建）	最强