與傳統的互聯網相比，工業互聯網有以下幾個特點：
連接對象不同：傳統互聯網的連接對象主要是人，應用場景相對簡單；工業互聯網需要連接人、機、物、系統等，連接種類和數量更多，場景十分復雜。
技術要求不同：傳統互聯網技術特點突出體現為“盡力而為”的服務，對網絡性能要求相對不高；工業互聯網則必須具有更低時延、更強可靠性和安全性，以滿足工業生產的需要。
發展模式不同：傳統互聯網應用門檻低，發展模式可復制性強，產業由互聯網企業主導推動，并且投資回報周期短，容易獲得社會資本的支持；工業互聯網行業標準多、應用專業化，難以找到普適性的發展模式，制造企業在產業推進中發揮至關重要的作用，并且工業互聯網資產專用性強，投資回報周期長，難以吸引社會資本投入。
時代機遇不同：我國的傳統互聯網起步較晚，總體上處于跟隨發展狀態；而目前全球工業互聯網產業格局未定，我國正處在大有可為的戰略機遇期。
等級保護中對機房建設要求有以下這些：
機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內。機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層或隔壁；機房場地應當避開強電場、強磁場、強震動源、強噪聲源、重度環境污染、易發生火災、水災、易遭受雷擊的地區。
機房出入口應有專人值守，鑒別進入的人員身份并登記在案；應批準進入機房的來訪人員，限制和監控其活動范圍；應對機房劃分區域進行管理，區域和區域之間設置物理隔離裝置，在重要區域前設置交付或安裝等過度區域；應對重要區域配置電子門禁系統，鑒別和記錄進入的人員身份并監控其活動。
應將主要設備放置在物理受限的范圍內；應對設備或主要部件進行固定，并設置明顯的無法除去的標記；應將通信線纜鋪設在隱蔽處，如鋪設在地下或管道中等；應對介質分類標識，存儲在介質庫或檔案室中；設備或存儲介質攜帶出工作環境時，應受到監控和內容加密；應利用光、電等技術設置機房的防盜報警系統，以防進入機房的盜竊和破壞行為；應對機房設置監控報警系統。
機房建筑應設置避雷裝置；應設置防雷保安器，防止感應雷；應設置交流電源地線。
應設置火災自動消防系統，自動檢測火情、自動報警，并自動滅火；機房及相關的工作房間和輔助房，其建筑材料應具有耐火等級；機房采取區域隔離防火措施，將重要設備與其他設備隔離開。
水管安裝，不得穿過屋頂和活動地板下；應對穿過墻壁和樓板的水管增加必要的保護措施，如設置套管；應采取措施防止雨水通過屋頂和墻壁滲透；應采取措施防止室內水蒸氣結露和地下積水的轉移與滲透。
應采用必要的接地等防靜電措施；應采用防靜電地板。
防火墻主要有以下三種技術：
包過濾技術：包過濾技術(IP Filtering or packet filtering) 的原理在于利用路由器監視并過濾網絡上流入流出的IP包，拒絕發送可疑的包。由于Internet 與Intranet 的連接多數都要使用路由器，所以Router成為內外通信的必經端口，Router的廠商在Router上加入IP 過濾 功能，過濾路由器也可以稱作包過濾路由器或篩選路由器（Packet FilterRouter）。防火墻常常就是這樣一個具備包過濾功能的簡單路由器，這種Firewall應該是足夠安全的，但前提是配置合理。然而一個包過濾規則是否完全嚴密及必要是很難判定的，因而在安全要求較高的場合，通常還配合使用其它的技術來加強安全性。
應用代理技術：應用代理(Application Proxy)技術是指在web服務器上或某一臺單獨主機上運行代理服務器軟件，對網絡上的信息進行監聽和檢測，并對訪問內網的數據進行過濾，從而起到隔斷內網與外網的直接通信的作用，保護內網不受破壞。在代理方式下，內部網絡的數據包不能直接進入外部網絡，內網用戶對外網的訪問變成代理對外網的訪問。同樣，外部網絡的數據也不能直接進入內網，而是要經過代理的處理之后才能到達內部網絡。所有通信都必須經應用層代理軟件轉發，應用層的協議會話過程必須符合代理的安全策略要求，因此在代理上就可以實現訪問控制、網絡地址轉換(NAT)等功能。
狀態檢測技術：狀態檢測技術是防火墻近幾年才應用的新技術。傳統的包過濾防火墻只是通過檢測IP包頭的相關信息來決定數據流的通過還是拒絕，而狀態檢測技術采用的是一種基于連接的狀態檢測機制，將屬于同一連接的所有包作為一個整體的數據流看待，構成連接狀態表，通過規則表與狀態表的共同配合，對表中的各個連接狀態因素加以識別。這里動態連接狀態表中的記錄可以是以前的通信信息，也可以是其他相關應用程序的信息，因此，與傳統包過濾防火墻的靜態過濾規則表相比，它具有更好的靈活性和安全性。
計算機網絡系統的安全評價，通常采用美國國防部計算機安全中心制定的可信計算機系統評價準則(TCSEC)。TCSEC定義了系統的安全策略、系統的可審計機制、系統安全的可操作性、系統安全的生命期保證以及建立和維護的系統安全等五要素的相關文件。
TCSEC中根據計算機系統所采用的安全策略、系統所具備的安全功能將系統分為A、B(B1、 B2、B3)、C(C1、C2)和D等四類七個安全級別。
(1) D類(最低安全保護級)
該類未加任何實際的安全措施，系統軟硬件都容易被攻擊。這是安全級別最低的一類， 不再分級。該類說明整個系統都是不可信任的。對于硬件來說，沒有任何保護可用;對于操作系統來說較容易受到損害;對于用戶和他們對存儲在計算機上信息的訪問權限沒有身份驗證。
(2) C類(被動的自主訪問策略)
該類又分為兩個子類(級)C1級(無條件的安全保護):這是C類中安全性較低的一級，它提供的安全策略是無條件的訪問控制，對硬件采取簡單的安全措施(如加鎖)，用戶要有登錄認證和訪問權限限制，但不能控制已登錄用戶的訪問級別，因此該級也叫選擇性安全保護級。早期的SCO UNIX、NetWare V3.0以下系統均屬于該級。C2級(有控制的訪問保護級):這是C類中安全性較高的一級，除了提供C1級中的安全策略與控制外，還增加了系統審計、訪問保護和跟蹤記錄等特性。Unix/Xenix系統 、NetWareV3.x系統和Windows NT/2000系統等均屬于該級。
(3) B類(被動的強制訪問策略類):
該類要求系統在其生成的數據結構中帶有標記，并要求提供對數據流的監視。該類又分為三個子類(級)。
B1級(標記安全保護級):它是B類中安全性最低的一級。除滿足c類要求外，要求提供數據標記。B1級的系統安全措施支持多級(網絡、應用程序和工作站等)安全。
B2級(結構安全保護級):該級是B類中安 全性居中一級， 它除滿足B1要求外，還要求計算機系統中所有對象都加標記，并給各設備分配安全級別。
B3級(安全域保護級):該級是B類中安全性最高的-級。它使用安裝硬件的辦法來加強安全域。
(4) A類(驗證安全保護級):
A類是安全級別最高的一級，它包含了較低級別的所有特性。該級包括一個嚴格的設計、控制和驗證過程，設計必須是從數學角度經過驗證，且必須對秘密通道和可信任的分布進行分析。
根據法律和審計要求規定，防火墻、服務器等網絡設備的日志要保證保存365天，以保證可以拿來做突發事件或者延續時間很長的那種入侵檢測的參考依據，但根據防火墻型號和flash空間不同如果存儲空間已滿后續日志會自動覆蓋以前的日志，但要保證日志存儲時間為一年。
所有的異常和重要的操作都在日志中有所體現，在出了問題時，只要服務器還沒有掛掉，我們首先回去查看日志，追溯到發生問題的日志記錄，仔細分析，在開發環境中重現，調試，解決問題，關于日志的存放時間，我覺得應該跟項目匹配，對于一段時間的日志，如果這段時間沒有再發現什么問題，我們可以重命名到當前的時間點之后存放，一方面我們可以保持正在記錄的日志文件的空間縮小，也便于查看的最新日志文件大小合適，不用再諸如幾百萬行的日志中查找問題是一件很愉快的事情
wvs安全測試工具有以下特點：
自動的客戶端腳本分析器，允許對Ajax和Web2.0應用程序進行安全性測試；
業內最先進且深入的SQL注入和跨站腳本測試；
高級滲透測試工具，例如HTTPEditor和HTTPFuzzer；
可視化宏記錄器幫助您輕松測試web表格和受密碼保護的區域；
支持含有CAPTHCA的頁面，單個開始指令和TwoFactor（雙因素）驗證機制；
豐富的報告功能，包括VISAPCI依從性報告；
高速的多線程掃描器輕松檢索成千上萬個頁面；
智能爬行程序檢測web服務器類型和應用程序語言；
Acunetix檢索并分析網站，包括flash內容、SOAP和AJAX；
端口掃描web服務器并對在服務器上運行的網絡服務執行安全檢查；
可導出網站漏洞文件；
工業互聯網產業聯盟發布的《工業互聯網安全框架》明確了安全框架的內容和范圍。工業互聯網安全框架從防護對象、防護措施及防護管理三個視角構建，針對不同的防護對象部署相應的安全防護措施，根據實時監測結果發現網絡中存在的或即將發生的安全問題，并及時做出響應。同時加強防護管理，基于安全目標的可持續改進的管理方針，保障工業互聯網的安全。防護對象視角涵蓋設備、控制、網絡、應用和數據五大安全重點。
工業互聯網安全框架的三個防護視角之間相對獨立，但彼此之間又相互關聯具體如下：
從防護對象視角來看，安全框架中的每個防護對象，都需要采用一系列合理的防護措施，并依據完備的防護管理流程對其進行安全防護；
從防護措施視角來看，每類防護措施都有其適用的防護對象，并在具體防護管理流程的指導下發揮作用；
從防護管理視角來看，防護管理流程的實現離不開防護對象的界定，并需要各類防護措施的有機結合，使其能夠順利運轉。
工業互聯網安全框架的三個防護視角相輔相成、互為補充，形成一個完整、動態、持續的防護體系。
雙宿主主機模式是指具有兩個網絡接口的主機。雙宿主主機的兩個網絡接口分別連接內網和外網，內網通常為局域網，外網通常為Internet。內外網絡均可與雙宿主主機通信，但內外網絡之間不可直接通信。雙宿主主機是內網和外網之間的屏障，如果入侵者得到了雙宿主主機的訪問權，內網就會被侵入，為了保障內網的安全，需要在雙宿主主機上禁止路由功能，并且設置身份認證機制。
雙宿主主機提供服務兩種方法如下：
第一種方式需要在雙宿主機上開很多賬號，但這種方式存在給入侵者提供相對容易的入侵通道，每一個賬號通常會有一個可重復使用的密碼，這樣很容易被入侵者破解。
第二種方式的問題相對要少很多，并且有些服務（如HTTP、SMTP）本身的特點就是“存儲轉發”型的，很適合進行代理。在雙宿主機上可以運行多種代理服務程序，當內網要訪問外網時，必須先通過服務器認證，然后才可以通過代理服務程序訪問外網。
導致醫療物聯網設備存在安全風險的因素包括：
與主流端點不同，多數物聯網設備在設計時并未將安全放在首位，它們通常是無人值守和無人管理的。
多達一半的連接設備(如超聲波和MRI機器)在不再受支持或維護的舊操作系統上運行，這意味著它們沒有安全支持或補丁可用。
醫療設備的網絡安全沒有認證和標準化。
當使用多種設備時很難手動清點每臺設備并及時跟蹤它在做什么。
物聯網設備缺乏標準化的接口和控制，因此如果沒有專門為物聯網安全設計的解決方案，幾乎不可能創建統一的安全策略、升級軟件，甚至實施強密碼。
網絡攻擊面包括以下因素：
對外開放的IP、端口、服務：這是大家都很重視的攻擊面，因為其最容易被攻擊者利用，所以安全人員也比較重視。
對內開放的IP、端口、服務：是比較容易忽略的環節，曾經很多人認為在內網就不存在安全問題了，但近年來高級持續性威脅（Advanced PersistentThreat,APT）的概念被不斷炒熱，大家對內網的控制也越來越嚴。由于曾經開放度太高，收緊策略的執行還是很復雜的。需要注意的是，對于打印機、攝像頭或類似IoT的設備是最容易被忽略的。
域名：與上述資產一樣有內部與外部之分，內部域名同樣需要提高重視。
應用程序接口：雖然API不像IP和域名那樣很容易被人發現，但許多重大數據泄露問題，其幕后原因都在于API遭到破壞、泄露或攻擊。近年來一些企業將API也納入資產管理的范圍中，這是非常明智的做法。
數據：嚴格意義來說，數據屬于資產，并不能算攻擊面，但近年來數據對企業和個人來說越來越重要，所以也成了吸引黑客的重要因素。我們在分析攻擊面的時候需要從數據的層面再次思考攻擊面的收斂問題。
Wi-Fi：如果公司沒有Wi-Fi，估計很多人會崩潰。幾乎所有企業都有無線網絡的部署，這成了黑客入侵的一個重要渠道。
物理環境：安全管理工作一般提到物理環境，都是指機房的管控，以及“兩地三中心”這種高可用設計。除此以外辦公區域、公司的大堂或者門外的公共區域都是我們需要關注的攻擊面。
人：網絡安全本質上還是人與人的博弈，我們在保護信息系統的同時，也要考慮到對人的保護，這包括了員工、與企業有合作的相關方人員，甚至包括企業產品的用戶。
第三方協作：如果我們的網頁上嵌入了第三方的JS（JavaScript），頁面的展示效果就不完全由我們自己做主；如果我們的系統部署在公有云上，系統服務的連續性就不由我們完全控制。所以，與第三方協作開發的軟件和放到第三方平臺上的業務系統都是容易忽略的攻擊面暴露的部分。
TCP/IP協議會導致互聯網服務產生以下威脅：
SYN泛洪攻擊：SYN泛洪攻擊發生在服務器接收到遠遠超出其處理能力的大量的請求時。正常情況下，主機之間使用TCP傳輸數據時必須通過三次握手（3-Way Handshake）來初始化連接，SYN泛洪攻擊原理是阻止TCP三次握手的完成。攻擊者向受攻擊主機發送SYN報文請求建立連接，報文中的源地址為偽造的、路由不可達地址。受攻擊主機向偽造的地址發送SYN/ACK回應請求，等待對方回應。與正常TCP連接不同的是，SYN泛洪攻擊阻止了三次握手最后過程的ACK包的發送，導致服務器端口一直處于半開狀態，每個TCP端口都有接收半開連接的上限值，當連接數達到這個上限值時，服務器不再接收連接請求，攻擊者的目的也就達到了。
IP欺騙：IP欺騙其實很簡單，攻擊者所需要做的就是產生一個源地址是偽造的IP數據包。這可以使用RAW-socket原始套接字來完成受攻擊主機沒有辦法判斷該數據包是否是偽造的，因為它僅僅是根據源地址來判斷除了IP欺騙外，攻擊者還要結合TCP序列號預測等技術來完成攻擊。
TCP序列號預測：TCP序列號預測利用TCP是基于序列號（SNO）傳輸數據的特性來攻擊TCP會話。TCP協議使用序列號保證應用層接收數據的完整性，雖然這是一種保證數據完整的有效方法，但是它同樣存在缺陷。如果攻擊者能猜測到正確的序列號，那么就能發出能被受攻擊主機接收的TCP偽造數據包。
TCP會話挾持：TCP會話挾持可以用于攻擊基于TCP協議的應用，如Telnet、rlogin、FTP等。對于攻擊者來說，要實施攻擊的前提是必須獲取受攻擊主機和欺騙主機之間的會話，從而獲得正確的TCP序列號。一旦攻擊者有了正確的TCP序列號，就可以成功的接管該會話。通常，TCP會話挾持用來接管一個Telnet會話，Telnet是非常容易受挾持的協議，它在客戶端和服務端傳輸簡單的字節流。攻擊者只要將他們的指令插入被挾持的TCP數據段，服務器就會把這個TCP段指令串重裝并執行。TCP會話挾持比其他的攻擊方法更有效，如嗅探密碼在使用高級認證技術的網絡中，密碼是經過加密的，嗅探攻擊并不起作用，而TCP會話挾持攻擊卻可以。因此，攻擊者更傾向于使用TCP挾持獲取系統權限。
RST和FIN攻擊：IP數據包有兩個特殊的標志位，RST和FIN，可用于拒絕服務攻擊。在正常情況下，RST標志用來重設連接，FIN標志表示沒有數據要發送。攻擊者分析通過目的主機和受騙主機之間的IP數據包，計算出從受騙主機發往目的主機的下一個TCP段的序列號，然后產生一個帶有RST位設置的TCP段，將其放在假冒源地址的數據包中發往目標主機，目標主機收到后就關閉與受騙主機的連接。利用FIN位的攻擊與RST位的攻擊很相似，攻擊者預測到正確的序列號后，使用它創建一個帶有FIN位的TCP分段，然后發送給目的主機，好像受騙主機沒有數據需要發送了，這樣由受騙主機隨后發出的TCP段就會因為目標主機認為是網絡錯誤而忽略。
Ping of DeathPing攻擊：程序通過發送一個ICMP回應請求消息和接收一個響應的ICMP回應來測試主機的連通性。ICMP回應請求放在IP數據包中，其中有8bytes的ICMP頭信息，然后是Ping請求的數據字節數。因此數據區所允許的最大尺寸為65535-20-8=65507bytes。分段后的IP包要在接收端的IP層進行重組，這樣就可以發送一個回應請求數據包，使它的數據包中的數據超過65507bytes，使得某些系統的IP分段組裝模塊出現異常，導致系統崩潰或重啟。
可以通過加固操作系統來減少TCPIP產生的威脅，操作方法如下：
端口和進程：網絡操作系統使用進程向外提供服務，減少無用軟件及服務的任務就是要在所有系統進程中找出多余進程。由于進程通過打開網絡端口向外提供服務，所以找出多余進程的最快方法是觀察進程及端口對應表。Netstat命令顯示協議統計和當前的TCP/IP網絡連接，該命令只有在安裝了TCP/IP協議后才可以使用。通過使用該命令可以列出一個系統上所有打開的TCP/IP網絡監聽端口。這些打開著的端口正是入侵者所要攻擊的，因為它們通向系統平臺內部。因此，作為平臺加固的一部分，用戶使用Netstat命令來識別出無關端口，并由此找到需要刪除或禁用的服務。
安裝系統補丁：所有軟件都有缺陷。為了修復這些錯誤，供應商會發布軟件補丁。如果沒有這些補丁，組織很容易遭受攻擊。在有很嚴格的更改控制策略的組織中，及時安裝補丁會是一個問題。對補丁的徹底測試是這個過程的關鍵部分，因為供應商在解決舊問題時，有可能會引入新的問題。而對于和安全缺陷無關的補丁來說沒有問題。但是，入侵者搜索和利用安全弱點的速度很快，所以要求有更快的安全補丁修正過程。企業必須注意安全補丁的發布，并隨時準備快速地使用它們。
用戶賬戶：用戶賬戶標識了需要訪問平臺資源的實體（無論是應用程序進程還是人）。操作系統通過權限和優先權將用戶賬戶與其訪問控制系統相關聯。因為用戶賬戶是合法進入系統的機制，所以入侵者常常試圖利用用戶賬戶管理和訪問控制中的缺陷。如果可以作為合法用戶輕松地登錄系統，那么為什么還要浪費時間去做自定義緩沖器溢出攻擊呢？用戶賬戶管理的弱點有5個方面：弱密碼、制造商默認的賬戶、基于角色的賬戶、公司默認賬戶，以及廢棄賬戶。在任何情況下，平臺加固的目標是將用戶賬戶數目減少到所需的絕對最小值。
用戶特權：為每一個用戶指派通常只能作為超級用戶運行的特定的應用程序和功能，而不是真正地使用超級用戶賬戶。也可以啟用詳細的日志記錄，使得可以根據任何運行于超級用戶功能追蹤到某個特定的用戶。在特定的應用中，意味著沒有人使用過超級用戶賬戶。
文件系統安全：通過在程序文件上設置SUID標志，某一個進程可以臨時提升其特權用以完成某項任務（例如，訪問文件passwd）。當程序執行時，可以暫時得到這些額外的特權而不用被全授予如此高的特權。這個SUID標志常常過度使用，當它與被黑客修改過的軟件包結合時，被修改的程序執行后會使某個用戶得到全時提升的系統權利。UNIX系統可能有很多帶有這個標志的組件，但是通常只需要它們中的一小部分。建議使用命令從整個系統中刪除不需要SUID標志程序的SUID標志。
遠程訪問的安全：Telnet和rlogin是UNIX系統上最常用的遠程訪問方式。這些系統都不采用加密技術來保護遠程訪問會話。一種被動的網絡監聽攻擊可以看到用戶在進入Telnet或者rlogin會話中按下的每一個鍵。安全Shell（SSH）是一種在UNIX及Window系統上使用的軟件包，它提供與Telnet和rlogin相同功能，但增加了加密會話功能。這個軟件包已經成為用加密和訪問控制的各種可配置級別進行安全遠程訪問的行業標準。
OSPFv3的新特點主要表現在以下方面：
OSPFv3協議設計體現了“獨立于任何一個具體網絡層協議”的目標。OSPFv3協議處理是以每條鏈路為單位，而不是像OSPFv2以子網為單位進行路由信息處理。OSPFv3計算的是鏈路狀態數據。
OSPFv2只能支持8項可選的功能，為了增強OSPF協議的通用性，OSPFv3可以支持多達24項可選的功能，例如組播OSPF（MOSPF）等。
為了簡化復雜的容錯網絡建設，OSPFv3引入Instance ID與R-bit選項。Instance ID使控制共享的物理網絡與OSPF域路由器通信時，不需要復雜的認證與訪問清單。R-bit選項使服務器可以采用冗余結構，這與OSPFv2相比有很大的改進。
OSPFv3安全機制與之前的版本完全不同。OSPFv3刪除了自身的認證，而是利用IPv6分組的安全擴展頭，使OSPFv3分組信息能夠被認證與加密。
操作系統的安全問題主要表現在以下幾方面：
設計問題：在操作系統軟件的設計過程中，不可避免地出現這樣或那樣的缺陷（稱之為漏洞），例如，系統模塊功能的局限性，限制條件的不完整性，以及某些模塊運行的不穩定性等。通常，為了設計和調試軟件的方便，程序員們往往使用一些特殊操作或專用口令進入系統進行修改和調試，或者使用特殊的程序或工具對操作系統進行檢測，這些特殊操作、專用口令和特殊工具程序等被稱為“后門”，從后門進入系統就可以完全控制操作系統。當操作系統調試成功并發布后，未檢測出的“漏洞”和忘記關閉的“后門”便成了操作系統中最大的安全隱患。有些惡意者，想盡辦法滲透到操作系統內部尋找這些漏洞和后門，更有甚者還將自己設計的后門安裝到操作系統內部伺機進行破壞。
管理問題：一個正式發布的操作系統，通常都提供多種管理模式，并隨系統一起提供一本使用手冊，根據使用者的實際需要，進行適當設置即可滿足一定的應用要求和安全要求。但是，由于種種原因，用戶很少考慮太多安全問題。通常，只要將系統安裝到機器上或再安裝一些補丁程序就認為沒事了，平時也很少維護系統。簡單的管理和維護很容易使系統受到攻擊，特別是具有較低權限的用戶很容易利用管理上的弱點獲取高級權限，進而控制操作系統，并設置陷阱和有害程序等，為以后提供方便，例如，通過網絡激活有害程序或按動陷阱機關竊取重要信息等。
硬件設備問題：硬件資源是操作系統管理的一個重要方面，包括處理器、存儲器、設備接口等，與設備接口相連的是硬件設備。當某個硬件資源發生故障時，操作系統會及時采取應急措施，啟動故障處理程序，并記錄系統狀態信息、保護現場，以便故障排除后恢復正常工作，若是某些關鍵部件發生故障，則會導致系統停止工作。當出現爭用硬件資源現象時，也可能導致操作系統出現“死鎖”。從安全角度看，應急措施容易被有惡意的人員利用，例如，通過修改指向故障處理程序的地址指針，或修改故障處理程序的內容等，使系統在轉向應急措施時，不是執行應急措施，而是執行被修改過的惡意程序。另一方面，硬件設備是物理存在的，直接面臨著偷竊和硬性破壞的威脅。特別是一些記錄著重要信息的存儲設備，一旦丟失，信息必然泄露。
使用問題：使用中的問題十分復雜，因為，使用操作系統的對象涉及廣泛，有直接的、間接的，有通過網絡的，還有利用無線網絡的，其使用的目的也不盡相同。
日志分析審計系統包括以下這些功能：
日志監控：提供日志監控能力，支持對采集器、采集器資產的實時狀態進行監控，支持查看CPU、磁盤、內存總量及當前使用情況；支持查看資產的概覽信息及資產關聯的事件分布；
日志采集：提供全面的日志采集能力：支持網絡安全設備、網絡設備、數據庫、windows/linux主機日志、web服務器日志、虛擬化平臺日志以及自定義等日志；提供多種的數據源管理功能：支持數據源的信息展示與管理、采集器的信息展示與管理以及agent的信息展示與管理；提供分布式外置采集器、Agent等多種日志采集方式；支持IPv4、IPv6日志采集、分析以及檢索查詢；
日志存儲：提供原始日志、范式化日志的存儲，可自定義存儲周期，支持FTP日志備份以及NFS網絡文件共享存儲等多種存儲擴展方式
日志檢索：提供豐富靈活的日志查詢方式，支持全文、key-value、多kv布爾組合、括弧、正則、模糊等檢索；提供便捷的日志檢索操作，支持保存檢索、從已保存的檢索導入見多條件等；
日志分析：提供便捷的日志分析操作，支持對日志進行分組、分組查詢以及從葉子節點可直接查詢分析日志；
日志轉發：支持原始日志、范式化日志轉發
日志事件告警：內置豐富的單源、多源事件關聯分析規則，支持自定義事件規則，可按照日志、字段布爾邏輯關系等方式自定義規則；支持時間的查詢、查詢結果統計以及統計結果的展示等；支持對告警規則的自定義，可設置針對事件的各種篩選規則、告警等級等；
日志報表管理：支持豐富的內置報表以及靈活的自定義報表模式，支持編輯報表的目錄接口、引用統計項、設置報表標題、展示頁眉和頁碼、報表配置基本內容（名稱、描述等）；支持實時報表、定時報表、周期性任務報表等方式；支持html，pdf，word格式的報表文件以及報表logo的靈活配置；
安全大數據方面的核心技術有以下這些：
大數據生命周期：底層是基礎設施，涵蓋計算資源、內存與存儲和網絡互聯，具體表現為計算節點、集群、機柜和數據中心。在此之上是數據存儲和管理，包括文件系統、數據庫和類似YARN的資源管理系統。然后是計算處理層，如hadoop、MapReduce和Spark，以及在此之上的各種不同計算范式，如批處理、流處理和圖計算等，包括衍生出編程模型的計算模型，如BSP、GAS 等。 數據分析和可視化基于計算處理層。分析包括簡單的查詢分析、流分析以及更復雜的分析(如機器學習、圖計算等)。查詢分析多基于表結構和關系函數，流分析基于數據、事件流以及簡單的統計分析，而復雜分析則基于更復雜的數據結構與方法，如圖、矩陣、迭代計算和線性代數。
大數據技術生態：大數據的基本處理流程與傳統數據處理流程并無太大差異，主要區別在于：由于大數據要處理大量、非結構化的數據，所以在各處理環節中都可以采用并行處理。目前，Hadoop、MapReduce和Spark等分布式處理方式已經成為大數據處理各環節的通用處理方法。
大數據采集與預處理：在大數據的生命周期中，數據采集處于第一個環節。根據MapReduce產生數據的應用系統分類，大數據的采集主要有4種來源：管理信息系統、Web信息系統、物理信息系統、科學實驗系統。對于不同的數據集，可能存在不同的結構和模式，如文件、XML 樹、關系表等，表現為數據的異構性。對多個異構的數據集，需要做進一步集成處理或整合處理，將來自不同數據集的數據收集、整理、清洗、轉換后，生成到一個新的數據集，為后續查詢和分析處理提供統一的數據視圖。針對管理信息系統中異構數據庫集成技術、Web 信息系統中的實體識別技術和DeepWeb集成技術、傳感器網絡數據融合技術已經有很多研究工作，取得了較大的進展，已經推出了多種數據清洗和質量控制工具。
大數據存儲與管理：按數據類型的不同，大數據的存儲和管理采用不同的技術路線，大致可以分為3類。第1類主要面對的是大規模的結構化數據。針對這類大數據，通常采用新型數據庫集群。它們通過列存儲或行列混合存儲以及粗粒度索引等技術，結合MPP(Massive Parallel Processing)架構高效的分布式計算模式，實現對PB 量級數據的存儲和管理。這類集群具有高性能和高擴展性特點，在企業分析類應用領域已獲得廣泛應用;第2類主要面對的是半結構化和非結構化數據。應對這類應用場景，基于Hadoop開源體系的系統平臺更為擅長。它們通過對Hadoop生態體系的技術擴展和封裝，實現對半結構化和非結構化數據的存儲和管理;第3類面對的是結構化和非結構化混合的大數據，因此采用MPP 并行數據庫集群與Hadoop 集群的混合來實現對百PB 量級、EB量級數據的存儲和管理。
大數據計算模式與系統：所謂大數據計算模式，即根據大數據的不同數據特征和計算特征，從多樣性的大數據計算問題和需求中提煉并建立的各種高層抽象(abstraction)或模型(model)。例如，MapReduce 是一個并行計算抽象，加州大學伯克利分校著名的Spark系統中的“分布內存抽象RDD”，CMU 著名的圖計算系統GraphLab中的“圖并行抽象”(Graph Parallel Abstraction)等。傳統的并行計算方法，主要從體系結構和編程語言的層面定義了一些較為底層的并行計算抽象和模型，但由于大數據處理問題具有很多高層的數據特征和計算特征，因此大數據處理需要更多地結合這些高層特征考慮更為高層的計算模式。
大數據分析與可視化：大規模數據的可視化主要是基于并行算法設計的技術，合理利用有限的計算資源，高效地處理和分析特定數據集的特性。通常情況下，大規模數據可視化的技術會結合多分辨率表示等方法，以獲得足夠的互動性能。在科學大規模數據的并行可視化工作中，主要涉及數據流線化、任務并行化、管道并行化和數據并行化4種基本技術。
