本书基于主流日志管理与分析系统的设计理念，完善、透彻地对日志分析各流程模块的原理与实现进行了系统性讲解，综合介绍了日志分析技术在数据治理、智能运维、可观测性、SIEM、UEBA、SOAR等IT运维及安全复杂场景中的应用，并汇总了各行业优秀的解决方案。第1～3章介绍了日志分析的基本概念、日志管理相关的法律法规及规范要求、日志管理与分析系统的组成部分及技术选型建议。第4～10章分别针对日志采集、字段解析、日志存储、日志分析、日志数据搜索处理语言SPL、日志告警、日志可视化等日志分析中最重要的实现步骤进行了具体阐述。第11～14章介绍了日志平台兼容性与扩展性，日志分析在运维数据治理、智能运维与可观测性等近年热门场景中的应用。第15～17章介绍了SIEM、NTA、UEBA及SOAR等安全相关内容。第18章总结列举了日志管理与分析技术方案在金融、能源、运营商等各关键行业的解决方案。

第1版序言 每位IT工程师，无论是从事开发、运维还是安全工作，都不可避免地要与IT日志打交道。IT日志，无论是系统日志、网络日志，还是应用日志，都是IT系统最重要的数据之一。 我20多年前进入IT行业，在思科从事网络设备的软件开发，为了知道开发的软件是否正常运行，以及出错时及时定位问题，需要查看网络设备的日志。最早我是用编辑器，如vi，手工查看日志的，靠肉眼搜寻日志里的信息或异常。为了提升效率，我也用grep等命令，或者写shell脚本程序，以及使用awk、sed等高级工具，对日志进行半自动化处理。 后来，我加入谷歌从事网页搜索工作。十多年前谷歌每天都要爬取100多亿个网页，在爬取各个网页时，可能遇到各种各样的错误，网页爬虫软件每天产生的日志就达数百TB。那么大的日志文件，已经无法用vi这样的编辑器打开查看，使用shell脚本程序或awk、sed等工具来查看日志，效率也非常低。当时谷歌内部已经普遍开始使用MapReduce编程架构（类似Hadoop的软件），我们就写MapReduce程序来分析日志，每天生成分析报表。每当遇到需要新的分析项时，又得添加MapReduce程序，还得运行MapReduce程序几十分钟甚至几个小时，才能生成分析结果。这是程序化处理海量日志的开始。 再后来我加入腾讯和高德地图，都需要处理数据中心或后台系统产生的大量日志。面对每天产生的海量日志，shell命令或脚本程序，以及awk、sed等工具，已经满足不了需求。我尝试过自己开发软件处理日志，以及使用Hadoop处理日志。当时，业界也有使用数据库存储、分析日志的解决方案，但日志是非结构化数据，数据库这种处理结构化数据的系统完全不适合处理日志。 大约10年前，IT进入大数据时代。运用大数据技术分析海量日志，属于IT运维分析（IT Operation Analytics，ITOA）这个新领域。在ITOA产生之前，IT运维主要还是IT运维管理（IT Operation Management，ITOM）。ITOA是ITOM的升级，是用大数据技术分析IT运维产生的海量数据的方法。数据源除了日志，还可能是网络流量，以及应用性能管理（Application Performance Management，APM）的探针数据。 Hadoop是广泛使用的大数据分析框架，后来又出现了更实时的Spark、Flink等框架。使用Hadoop/Spark/Flink等框架分析日志需要研发投入，每次有新的分析需求或新的日志，都需要投入研发资源。也有使用各种NoSQL来存储、分析日志的，如Clickhouse、MongoDB等，但这些基于Key-Value的NoSQL系统，适合预先抽取了日志里需要分析的字段，或者程序已经做了改造，使用JSON等格式，输出的日志已经基本结构化。 对于大多数难以改造的应用系统，输出的日志是自由文本格式，实时搜索引擎是最好的解决方案。使用搜索引擎分析日志，可以搜索日志里的任何字段，如同网页搜索引擎可以搜索任何网页一样方便。对于需要分析的日志字段，可以在日志进入搜索引擎前抽取字段（Schema on Write）或在搜索分析日志时才抽取字段（Schema on Read，Schema on Fly，Schemaless）。与网页搜索引擎相比，日志搜索分析引擎更注重实时性，要求日志从产生到搜索分析出结果，只有几十秒的延时，而对于网页搜索的核心功能，如搜索相关性、搜索排序等，则基本用不上。 2003年Splunk在美国硅谷横空出世，这是第一个使用实时搜索引擎分析日志的产品。2010年Elasticsearch诞生，虽然Elasticsearch是个通用搜索引擎，但因为其开源免费，也被业界广泛应用于日志搜索分析。2014年日志易在中国诞生，中国用户有了更多的选择。 日志分析主要用于业务运维的可用性分析及应用性能分析，也可用于安全分析，以及实时业务分析。随着信息安全的发展，基于大数据的安全分析已经成为行业趋势。各种安全攻击层出不穷，需要基于全量日志和网络流量，对IT系统进行全面监测、分析，及时发现安全攻击。由此，诞生了基于日志的安全信息事件管理（Security Information Event Management，SIEM）及用户端点行为分析（User ＆ Entity Behavior Analytics，UEBA）解决方案，SIEM与UEBA已经成为安全运营中心（Security Operation Center，SOC）不可或缺的核心组件。 基于日志做实时业务分析，相较于基于数据库的商业智能（Business Intelligence，BI），更加实时，而且不会对主要用于支撑交易的数据库造成压力，影响业务交易，这也是现在普遍应用的在线分析处理（On-Line Analytics Processing，OLAP）技术。 物联网（Internet of Things，IoT）的兴起，产生了海量物联网数据需要分析，这些物联网数据与日志类似，都是带时间戳的时间序列机器数据，同样可以用日志搜索分析引擎进行分析。 近年来，日志分析又有了进一步发展。人工智能的普及，也应用到日志分析上，诞生了智能运维（AI for IT Operations，AIOps）技术，把机器学习、人工智能算法应用到分析日志等IT运维产生的数据上。同时，结合IT系统指标数据（Metrics），系统调用链数据（Tracing），及日志（Log），共同分析，实现IT系统可观察性（Observability）。 现在，手机等广泛使用的系统每天在后台产生的新增日志量已经达到PB级。IT日志数据这座金矿亟待开发，日志分析大有可为。 越来越多的公司在采集、管理、分析日志，为了帮助IT运维、安全及研发人员及管理人员更好地理解日志、实现日志的价值，日志易团队结合过去多年在日志管理分析领域积累的经验，凝聚集体智慧，耗时近两年，写成了《日志管理与分析》一书。这本书涵盖了日志管理、分析的各个方面，全面介绍了日志分析在运维和安全方面应用，以及智能运维。 IT运维工程师通过本书，可以了解日志系统的选型，如何分析日志，实现系统可用性监控及应用性能监控、故障发现与根因分析，以及智能运维。安全工程师通过本书，可以了解如何基于大数据进行安全分析，以及SIEM和UEBA。研发工程师通过本书，可以了解开发日志管理分析系统的关键点。IT架构师和管理人员通过本书，可以了解日志分析系统在企业IT管理中的作用及如何建设高效的日志管理分析系统。 本书由多位作者合作完成，具体分工如下： ? 第1章：张梦梦 ? 第2、7章：王洪福 ? 第3、4章：刘康 ? 第5章：陈熠祺 ? 第6、8章：刘诗韵 ? 第9章：王刚、张梦梦 ? 第10章：江付、赵中山 ? 第11章：胡明昊、张梓聪、孟猛 ? 第12章：任海峰 全书各章由郝香山、万梦晨完成统稿校对。 在本书写作过程中，得到清华大学孙雪老师、电子工业出版社朱雨萌老师及审稿专家的专业指导，得到饶琛琳、梁玫娟、丘木子、尹云飞、黄俊毅、黎吾平、詹凯、马阳光等日志易同事的支持与帮助，在此一并致谢。 经验所限，书中内容难免有错误不当之处，欢迎读者朋友批评指正。 陈军 日志易CEO 2021年春节于北京 第2版序言 2021年年初，我们出版了《日志管理与分析》一书后，获得不少好评。过去两年时间，日志管理与分析领域又有了新的发展，本书也与时俱进，将出版第2版。第2版除了完善第1版的一些章节，还增加了6章，分别是第8章“搜索处理语言SPL”、第12章“运维数据治理”、第14章“可观测性”、第16章“UEBA”、第17章“安全编排、自动化与响应”、第18章“行业解决方案”。 为了对日志这种复杂的数据进行分析，需要一个强大、灵活、专门针对日志的领域专用语言（Domain Specific Language，DSL）。一种路径是继续沿用数据库查询语言SQL。SQL已经在IT行业广泛应用，掌握SQL的IT工程师比较多，无须专门学习，就可以把熟悉的SQL语法用于日志分析。但SQL是专门针对数据库的结构化查询语言，把它迁移到日志这种非结构化数据上并不合适，特别是多层嵌套查询增加了脚本的难度与可读性。Splunk、日志易等产品采用新的路径，使用专门针对日志的领域专用语言——搜索处理语言（Search Processing Language，SPL）。SPL与SQL有一定相似度，但增加了管道符，类似Unix、Linux命令，通过管道符把不同命令串联，每个命令解决一个简单问题，多个命令通过管道符串联，解决复杂的问题。由于日志字段的多样性，有时我们需要在分析日志的时候抽取日志字段，也称作“读时建模”（Schema on Read），通过SPL命令可以完成“读时建模”。另外，智能运维（AIOps）把各种机器学习、人工智能算法用于日志分析，除了在产品中内置算法，还可以通过SPL命令调用外部用Python程序实现的各种算法，使产品的可扩展性大大增强。实践证明，安全分析师掌握了SPL命令后，结合自己的安全分析领域知识，使用SPL命令，可以很方便地从日志里挖掘各种攻击、渗透信息。基于SPL的安全事件分析，比传统的内置安全分析规则可扩展性更强，可以让安全分析师根据安全攻击的发展变化，随时随地使用SPL进行分析，比内置规则更及时、更灵活，也使产品在应对新的安全攻击的时候，能够不断演进，对客户也是一种投资保护，不至于因为产品过时而需要定期购买新的安全事件分析产品。SPL让日志分析产品更加强大、灵活，可扩展性更好，成为一个平台，能够支撑运维、安全、运营等不同场景。Splunk、日志易等产品都有数百个SPL命令，因此我们在第8章介绍了一些常用的SPL命令及使用场景和案例。 一些大企业在做基于日志的运维分析和安全分析时，发现首先需要做好日志数据治理。只有在做好数据治理的基础上，才能对日志进行有效分析，充分挖掘日志的价值。2021年年初，吴恩达（Andrew Ng）等人工智能、机器学习的专家就力挺机器学习运营（MLOps），认为要发挥人工智能、机器学习的价值，80%在数据，20%在算法，只有在完善数据治理的基础上，才能通过数据验证算法、训练好算法模型，发挥人工智能、机器学习的价值。数据的价值也充分体现在人脸识别、智能驾驶等人工智能领域。数据正在成为企业越来越重要的资产，数据治理相当于企业资产的管理与优化配置，因此我们增加了第12章“运维数据治理”。 随着IT系统的发展，过去的系统可用性监控（发现故障、定位故障根因）已经无法满足不断提升的需求，更多的企业采用应用性能监控，在性能下降时就及时预警，而不是等到系统不可用了才告警。容器、微服务等云原生技术的普及，导致IT系统复杂度大幅度增加，对IT系统的观测、度量也提出了更高要求。容器、微服务等云原生技术对基础资源（CPU、内存、网络、存储）的管理、调度颗粒度更细，应用资源（API、消息队列、数据库）的更新迭代更频繁，更加依赖对这些资源的观测、度量来做调度决策及衡量调度的效果，从而做出优化。除了观测、度量应用和基础资源的指标数据，还需要结合日志、链路追踪等数据一起实时分析。2016年硅谷诞生了第一家专注可观测性（Observability）的创业公司，把日志、指标、链路追踪结合在一起分析。 云原生计算基金会（Cloud Native Computing Foundation，CNCF）也发布了OpenTelemetry这一可观测性开源项目和相关标准、框架。经过几年的市场培育，可观测性已经在美国等发达国家市场普及，在中国正被逐步接受。过去的可用性监控如同人生病了才去医院做检查、查找病因，而可观测性则24小时不间断地对IT系统进行全面体检，实时全面掌握IT系统的健康度。可观测性正在替代传统的运维监控，变得越来越重要。因此我们增加了第14章“可观测性”。 日志在安全领域的应用，除了做安全信息事件管理（Security Information and Event Management，SIEM），还可以用在用户实体行为分析（User and Entity Behavior Analysis，UEBA）。SIEM主要用于发现来自外部的攻击，UEBA主要用于发现内部违规行为及IT系统被渗透后来自内部的攻击。在通过SIEM或者UEBA发现了安全攻击之后，需要进行阻断，安全编排、自动化与响应（Security Orchestration Automation and Response，SOAR）可根据SIEM、UEBA的分析结果，执行事先编排好的安全响应剧本，阻断攻击。SIEM、UEBA、SOAR是安全运营中心（Security Operation Center，SOC）的核心模块。因此，我们增加了第16章“UEBA”与第17章“安全编排、自动化与响应”。 日志管理与分析已经在各行各业获得广泛应用，我们增加了第18章“行业解决方案”，介绍了日志分析在银行、证券、保险、基金、电力、石油、运营商、广电、汽车等行业的应用案例与解决方案。这些行业解决方案来自日志易工程师、客户及合作伙伴的最佳实践，在此对他们表示感谢。其中，第18.8节特别收录了日志易重要客户中移动信息技术有限公司撰写的运营商行业解决方案，在此特别鸣谢中国移动“十百千”高级专家、信息技术中心架构师左金虎等专家对本书的认可与支持，向业界提供了宝贵的实践思路与经验，供读者品读。希望这些解决方案能够帮助读者解决工作中遇到的日志管理与分析的问题。 近年来，基于自主可控的IT信创开展得如火如荼。信创改变了IT系统的底层架构，大量核心组件逐步从原来国外大厂的成熟产品替换为新开发的信创产品，这些信创新产品的稳定性还有待提升，给IT系统的运维监控和排障都带来新的挑战。x86服务器替换为ARM服务器导致计算节点增加，也增加了运维的工作量。对这些信创系统进行监控，“信创运维”由此诞生。另外，运维监控产品本身也需要做信创替换，从Splunk或者基于Elasticsearch的二次开发替换为国产日志产品。越来越多客户要求全栈信创，要求所有组件都必须是信创产品。 随着技术的发展，日志将有更多价值被挖掘出来，近年兴起的业务流程挖掘，也是基于日志进行分析的。未来日志分析可能还会用在更多场景，带来更多价值。希望《日志管理与分析（第2版）》能够给读者带来价值。 陈军 日志易CEO 2022年末于北京

目 录 第1章 走近日志 001 1.1 什么是日志 002 1.1.1 日志的概念 002 1.1.2 日志生态系统 002 1.1.3 日志的作用 003 1.2 日志数据 004 1.2.1 日志环境与日志类型 004 1.2.2 日志语法 005 1.2.3 日志管理规范 007 1.2.4 日志使用误区 008 1.3 云日志 008 1.4 日志使用场景 009 1.4.1 故障排查 009 1.4.2 运维监控 010 1.4.3 安全审计 010 1.4.4 业务分析 011 1.4.5 物联网 013 1.5 日志未来展望 013 第2章 日志管理 015 2.1 日志管理相关法律 016 2.2 日志管理要求 016 2.3 日志管理中存在的问题 017 2.4 日志管理的好处 018 2.5 日志归档 021 第3章 日志管理与分析系统 022 3.1 日志管理与分析系统的基本功能 023 3.1.1 日志采集 023 3.1.2 数据清洗 023 3.1.3 日志存储 024 3.1.4 日志告警 024 3.1.5 日志分析 024 3.1.6 日志可视化 025 3.1.7 日志智能分析 025 3.1.8 用户与权限管理 025 3.1.9 系统管理 025 3.2 日志管理与分析系统技术选型 026 3.2.1 日志分析的基本工具 026 3.2.2 开源+自研 028 3.2.3 商业产品 028 3.3 小结 031 第4章 日志采集 032 4.1 日志采集方式 033 4.1.1 Agent采集 033 4.1.2 Syslog 034 4.1.3 抓包 035 4.1.4 接口采集 035 4.1.5 业务埋点采集 035 4.1.6 Docker日志采集 036 4.2 日志采集常见问题 037 4.2.1 事件合并 037 4.2.2 高并发日志采集 038 4.2.3 深层次目录采集 038 4.2.4 大量小文件日志采集 039 4.2.5 其他日志采集问题 039 4.3 小结 040 第5章 字段解析 041 5.1 字段的概念 042 5.2 通用字段 042 5.2.1 时间戳 043 5.2.2 日志来源 043 5.2.3 执行结果 043 5.2.4 日志优先级 043 5.3 字段抽取 044 5.3.1 日志语法 044 5.3.2 字段抽取方法 045 5.3.3 常用日志类型的字段抽取 047 5.4 schema on write与schema on read 048 5.5 字段解析常见问题 049 5.5.1 字段存在别名 049 5.5.2 多个时间戳 049 5.5.3 特殊字符 049 5.5.4 封装成标准日志 050 5.5.5 类型转换 050 5.5.6 敏感信息替换 050 5.5.7 HEX转换 050 5.6 小结 051 第6章 日志存储 052 6.1 日志存储形式 053 6.1.1 普通文本 053 6.1.2 二进制文本 054 6.1.3 压缩文本 056 6.1.4 加密文本 057 6.2 日志存储方式 057 6.2.1 数据库存储 057 6.2.2 分布式存储 060 6.2.3 文件检索系统存储 061 6.2.4 云存储 063 6.3 日志物理存储 064 6.4 日志留存策略 064 6.4.1 空间策略维度 065 6.4.2 时间策略维度 065 6.4.3 起始位移策略维度 065 6.5 日志搜索引擎 065 6.5.1 日志搜索概述 066 6.5.2 实时搜索引擎 066 6.6 小结 067 第7章 日志分析 068 7.1 日志分析现状 069 7.1.1 对日志的必要性认识不足 069 7.1.2 缺乏日志分析专业人才 069 7.1.3 日志体量大且分散，问题定位难 069 7.1.4 数据外泄 069 7.1.5 忽略日志本身的价值 070 7.2 日志分析解决方案 070 7.2.1 数据集中管理 070 7.2.2 日志分析维度 071 7.3 常用分析方法 072 7.3.1 基线 072 7.3.2 聚类 072 7.3.3 阈值 073 7.3.4 异常检测 073 7.3.5 机器学习 073 7.4 日志分析案例 074 7.4.1 Linux系统日志分析案例 074 7.4.2 运营分析案例 075 7.4.3 交易监控案例 077 7.4.4 VPN异常用户行为监控案例 077 7.4.5 高效运维案例 078 7.5 SPL简介 079 7.6 小结 081 第8章 SPL 082 8.1 SPL简介 083 8.2 SPL学习经验 083 8.3 小试牛刀 084 8.3.1 基本查询与统计 088 8.3.2 统计命令 089 8.3.3 分时统计 091 8.3.4 重命名 092 8.4 图表的使用 093 8.4.1 可视化：体现数据趋势的图表 093 8.4.2 快速获取排名 094 8.5 数据整理 095 8.5.1 赋值与计算 095 8.5.2 只留下需要的数据 101 8.5.3 过滤项 101 8.5.4 利用表格 102 8.5.5 排序突出重点 104 8.5.6 去冗余 105 8.5.7 限量显示 106 8.5.8 实现跨行计算 107 8.5.9 只留下想要的字段 108 8.6 关联分析 109 8.6.1 数据关联与子查询 109 8.6.2 关联 112 8.6.3 数据对比 113 8.7 小结 115 第9章 日志告警 116 9.1 概述 117 9.2 监控设置 117 9.3 告警监控分类 120 9.3.1 命中数统计类型的告警监控 121 9.3.2 字段统计类型的告警监控 121 9.3.3 连续统计类型的告警监控 122 9.3.4 基线对比类型的告警监控 122 9.3.5 自定义统计类型的告警监控 123 9.3.6 智能告警 124 9.4 告警方式 124 9.4.1 告警发送方式 124 9.4.2 告警抑制和恢复 126 9.4.3 告警的插件化管理 127 9.5 小结 127 第10章 日志可视化 128 10.1 概述 129 10.2 可视化分析 129 10.2.1 初识可视化 129 10.2.2 图表与数据 130 10.3 图表详解 131 10.3.1 序列类图表 132 10.3.2 维度类图表 136 10.3.3 关系类图表 140 10.3.4 复合类图表 143 10.3.5 地图类图表 145 10.3.6 其他图表 146 10.4 日志可视化案例 151 10.4.1 MySQL性能日志可视化 151 10.4.2 金融业务日志可视化 155 10.5 小结 158 第11章 日志平台兼容性与扩展性 159 11.1 RESTful API 160 11.1.1 RESTful API概述 160 11.1.2 常见日志管理API类型 161 11.1.3 API设计案例 162 11.2 日志App 163 11.2.1 日志App概述 163 11.2.2 日志App的作用和特点 163 11.2.3 常见日志App类型 164 11.2.4 典型日志App案例 167 11.2.5 日志App的发展 171 第12章 运维数据治理 172 12.1 运维数据治理背景 173 12.2 运维数据治理方法 175 12.2.1 元数据管理 176 12.2.2 主数据管理 176 12.2.3 数据标准管理 176 12.2.4 数据质量管理 177 12.2.5 数据模型及服务 177 12.2.6 数据安全 177 12.2.7 数据生命周期 177 12.3 运维数据治理工具 178 12.3.1 工具定位 178 12.3.2 整体架构 178 12.3.3 数据接入管理 179 12.3.4 数据标准化管理 179 12.3.5 数据存储管理 182 12.3.6 数据应用与服务 184 第13章 智能运维 186 13.1 概述 187 13.2 异常检测 187 13.2.1 单指标异常检测 188 13.2.2 多指标异常检测 193 13.3 根因分析 195 13.3.1 相关性分析 195 13.3.2 事件关联关系挖掘 197 13.4 日志分析 197 13.4.1 日志预处理 198 13.4.2 日志模式识别 199 13.4.3 日志异常检测 199 13.5 告警收敛 200 13.6 趋势预测 202 13.7 故障预测 203 13.7.1 故障预测的方法 203 13.7.2 故障预测的落地与评估 204 13.8 智能运维对接自动化运维 205 13.9 智能运维面临的挑战 206 第14章 可观测性 207 14.1 概述 208 14.1.1 可观测性的由来 208 14.1.2 可观测性与监控 208 14.1.3 可观测性的三大支柱 209 14.2 实现可观测性的方法 210 14.2.1 数据模型 211 14.2.2 数据来源 211 14.3 可观测性应用场景 215 14.3.1 运维监控 215 14.3.2 链路追踪 217 14.3.3 指标探索 219 14.3.4 故障定位 220 14.4 小结 221 第15章 SIEM 222 15.1 概述 223 15.2 信息安全建设中存在的问题 223 15.3 日志分析在SIEM中的作用 224 15.4 日志分析与安全设备分析的异同 224 15.5 SIEM功能架构 225 15.6 SIEM适用场景 226 15.7 用户行为分析 234 15.8 流量分析 240 15.8.1 流量协议介绍 240 15.8.2 流量分析功能 241 15.8.3 从WebLogic RCE漏洞到挖矿 241 15.9 小结 249 第16章 UEBA 250 16.1 深入理解用户行为 251 16.1.1 背景介绍 251 16.1.2 数据源 252 16.1.3 标签画像 254 16.2 行为分析模型 255 16.2.1 分析方法 255 16.2.2 机器学习模型 257 16.3 应用场景 261 16.3.1 数据泄露 261 16.3.2 离职分析 261 16.3.3 合规分析 261 16.3.4 失陷账户 262 16.4 小结 265 第17章 安全编排、自动化与响应 266 17.1 SOAR简介 267 17.2 SOAR架构与功能 268 17.2.1 技术架构 268 17.2.2 剧本与组件的定义 269 17.2.3 剧本与组件的使用 269 17.3 SOAR与SIEM的关系 271 17.3.1 SOAR与SIEM关联使用 273 17.3.2 SOAR与SIEM信息同步 274 17.4 应用场景 276 17.4.1 自动化封禁场景 276 17.4.2 DNS网络取证分析场景 277 17.5 小结 279 第18章 行业解决方案 280 18.1 概述 281 18.2 银行行业解决方案 281 18.2.1 行业背景 281 18.2.2 行业当前挑战 281 18.2.3 整体建设思路 282 18.2.4 项目整体收益 286 18.3 证券行业解决方案 286 18.3.1 行业背景 286 18.3.2 行业当前挑战 286 18.3.3 整体建设思路 287 18.3.4 项目整体收益 289 18.4 保险行业解决方案 290 18.4.1 行业背景 290 18.4.2 行业当前挑战 290 18.4.3 整体建设思路 291 18.4.4 项目整体收益 294 18.5 基金行业解决方案 294 18.5.1 行业背景 294 18.5.2 行业当前挑战 295 18.5.3 整体建设思路 295 18.5.4 项目整体收益 298 18.6 电力行业解决方案 298 18.6.1 行业背景 298 18.6.2 行业当前挑战 299 18.6.3 整体建设思路 299 18.6.4 项目整体收益 302 18.7 石油行业解决方案 302 18.7.1 行业背景 302 18.7.2 行业当前挑战 303 18.7.3 整体建设思路 303 18.7.4 项目整体收益 306 18.8 运营商行业解决方案 307 18.8.1 行业背景 307 18.8.2 行业当前挑战 307 18.8.3 整体建设思路 308 18.8.4 项目整体收益 316 18.9 广电行业解决方案 316 18.9.1 行业背景 316 18.9.2 行业当前挑战 317 18.9.3 整体建设思路 317 18.9.4 项目整体收益 321 18.10 汽车行业解决方案 322 18.10.1 行业背景 322 18.10.2 行业当前挑战 322 18.10.3 整体建设思路 323 18.10.4 项目整体收益 326 18.11 小结 327 参考文献 328