OCI审计日志与服务日志对接SIEM（Arcsight）相关问题咨询

已有大量OCI审计日志、服务日志对接SIEM（包括ArcSight）的成熟落地实践，以下是两类日志的存储位置、即时访问入口及集成相关说明：

日志存储位置 #

• OCI审计日志：默认存储在OCI审计服务专属存储区，默认保留周期为90天。支持通过配置导出规则，将审计日志持久化存储到对象存储桶、流服务（Streaming）或日志分析服务中，对接SIEM场景下通常会先将日志导出至流服务做中转，再推送至ArcSight等SIEM平台。
• OCI服务日志：各OCI服务生成的原生日志默认存储在对应服务的内部存储中，需先在OCI日志服务（Logging）中开启对应服务的日志采集，采集后的服务日志会统一存储在日志服务的专属日志组/日志对象下，同样支持导出到对象存储、流服务或日志分析服务，对接SIEM的流程与审计日志一致。

即时访问入口 #

审计日志访问入口 #

• 控制台路径：登录OCI控制台后，依次进入「治理和行政管理」分类下的「审计」页面，可按区间、时间范围筛选查看审计日志
• CLI访问：执行命令 oci audit event list --compartment-id <目标区间OCID> --start-time <UTC格式起始时间> --end-time <UTC格式结束时间> 即可拉取对应审计日志
• API访问：调用审计服务的ListEvents接口直接获取日志数据

服务日志访问入口 #

• 控制台路径：登录OCI控制台后，依次进入「可观测性和管理」分类下的「日志记录」页面，选择对应日志组和日志对象即可查看已采集的服务日志
• CLI访问：执行命令 oci logging log search --compartment-id <目标区间OCID> --time-start <UTC格式起始时间> --time-end <UTC格式结束时间> --search-query "search <日志组OCID>/<日志OCID> | sort by datetime desc" 即可拉取指定服务日志
• API访问：调用日志服务的SearchLogs接口获取对应服务日志

对接SIEM（含ArcSight）的补充说明 #

现有落地实践中，对接ArcSight通常采用以下方案：先将审计日志、服务日志统一导出到OCI流服务中，使用ArcSight的OCI官方适配连接器直接消费流服务内的日志数据即可完成集成，无需额外做日志格式转换，适配成本较低。

内容的提问来源于stack exchange，提问作者user2750212