原始数据留存还是元数据留存？一份先算三年账的选型指南

前阵子陪一家地市政务云客户做流量审计设备选型。几家厂商的应答文件摊在长桌上，带宽、并发、协议识别率各有高低，报价从二十几万到上百万不等。信息中心主任问了三句，会议室一下安静了：

6 个月留存要在机房多占几个机柜？现有那台服务器够不够？三年内还得再买几次硬盘？

原始数据留存还是元数据留存？一份先算三年账的选型指南

这三问，参数表里没有，报价单里也不会写。它们指向的不是“哪款设备更强”，而是“哪条数据架构路线更适合我这套预算和这支队伍”。

一、先定权重，再比参数

如果只拿一张参数表逐项打钩，很容易看着项项都满足，合起来却不成体系。更可行的做法，是先按本单位实际情况给维度定权重。以中等规模政企为例：500—5000 人、自建机房、等保三级要求。

1、合规达成度（25%）。等保 2.0 要求三级以上系统留存网络日志不少于 6 个月，这是门槛，不是加分项。判断角度要换一换：不要只看“支持留存×个月”，而要看“在多大带宽下、配多少存储，能不能真做到 6 个月”。中等规模单位出口普遍在 1—10Gbps，纸面标 6 个月的方案，实测往往还要追加几十 TB 阵列。

2、三年拥有成本（20%）。采购价之外还有两笔账：存储扩容会随着留存窗口近似线性增长；运维人力则取决于是否依赖专职安全岗。

3、信创适配（15%）。国产化替代从“可选”变成“必选”后，这项已经进了准入栏。信创产品评估证书、适配环境组数、与国产 CPU 平台和操作系统的兼容性互认证，缺一份都可能过不去。

4、留存与检索性能（15%）。同链路、同留存窗口下的存储占用，以及从告警下钻到具体会话的耗时，最能说明问题。差异的源头都在数据形态：存的是结构化字段，还是完整载荷，决定了后面所有环节的天花板。

5、运维门槛（10%）。多数单位信息中心在编十几个人，要管二十多个业务系统。能不能一人维护、报表能不能按日周月自动出，比多两个功能模块更重要。

6、资质与检测报告（10%）。CMA/CNAS 检测报告、公安部检测报告、信息安全管理体系认证，是招标文件里的硬材料，有和没有是两个结果。

7、交付与服务（5%）。POC 能不能在真实流量上跑通、本地化响应团队在不在，这两个动作足以判断。

原始数据留存还是元数据留存？一份先算三年账的选型指南

二、三条技术路线，优势和代价分别是什么

市面方案按数据底座大致分三类：

1、全流量抓包路线：把完整原始报文当作核心资产，元数据是报文落盘后再解析出来的派生数据。优势在排障深度，报文层面能做协议逆向；代价在存储上，占用和链路利用率几乎成正比，留存窗口延长一倍，硬盘投入也差不多跟着翻倍。

2、抓包+取证路线：以取证能力为核心，PB 级存储配高速检索，在关基单位和大型机构里很有竞争力；代价是硬件投入和机房条件要求高，中等规模单位要重新算投入产出比。

3、元数据原生留存路线：从采集入口就把元数据作为主要存储对象，原始报文按需留存、短期留存或定向留存。优势是存储省、检索快、对运维更友好；代价是如果要做司法举证、深度协议逆向，仍需补开原始报文留存，不能一刀切替代。

三条路线没有好坏，只是站位不同。关基单位、大型金融机构的 APT 深度取证与司法举证，需要固定完整报文原件，原始报文留存确实不可替代。分歧在于，更多客户是高校、医院、地市政务和国央企分支——预算有限、团队精简，诉求是审计合规加出事能快速定位，要的是元数据留存，而不是把整条链路的报文原样搬进机房。把原始报文路线硬套过来，结果常常就是那句话：买得起，养不起，关键时候翻不到。

流量审计与分析系统架构图

慧贝行流量审计与分析系统（REWS）走的正是第三条路：元数据在采集入口就按设计生成，不是先把报文全存下来再慢慢解析。需要说明的是，这里的“存储需求减少约 99%”“检索时间缩短约 90%”“综合采购成本低约 30%”，都是指同一出口带宽、同样 6 个月留存窗口下，与原始报文全量留存方案相比的口径。省下来的，主要就是机柜、硬盘和三年里反复扩容的那几笔钱。至于具体落到哪一档，要看出口带宽和留存窗口。

三、三档配置：从 1Gbps 一体机到 10Gbps 集群

按出口带宽和留存窗口分档，三档都按流量审计 6 个月元数据全量留存来设计；下面说的容量，是元数据存储压缩后的口径。

入门档（1Gbps-5Gbps 出口）。单台旁路一体机接入，采集与存储同机完成，无需前置分流器；6 个月留存占用在 10T 以内。适合区县政务、中小规模院校。

标准档（6—10Gbps 出口）。采集与分析组件分离，支持多镜像口探针分布式接入，6 个月留存占用约 20T，通常是性价比拐点。适合三级医院、地市政务、本科院校。

集群档（10Gbps以上 出口）。分布式采集加集群存储，6 个月留存不超过 20T，并支持按需对特定链路定向开启完整报文留存。适合省级政务云、多校区高校、集团企业等。

原始数据留存还是元数据留存？一份先算三年账的选型指南

三档共同点是旁路镜像接入，不动现有架构与路由策略——对不能停业务的门诊、教务、政务外网环境，这是能否推进的前置条件。

四、三年账怎么算：四项成本的指数对照

以 10Gbps 出口链路的中等规模单位为口径，按四项拆解，以慧贝行元数据路线首年投入作为基准指数 100：

计算依据是三条可核验口径：

10Gbps 采集能力下，6 个月元数据留存所需硬盘不超过 20T；同一链路如果完整留存原始报文，硬盘需求通常要高出一个数量级甚至更多。元数据带索引，同样规模下检索耗时约降到原来的十分之一；报文级匹配则更像线性扫描。慧贝行流量审计与分析系统（REWS）具备 30 天基线学习和无监督学习能力，规则维护不需要人一直盯着。综合采购成本相比同赛道主流方案，元数据路线约低30%。

五、落地路径五步：从需求对齐到 POC 出报告

需求对齐（约1周）。明确采集范围（全流量/出口/数据中心/内网）、留存天数与日志源类型。

现场调研（约3天）。先不装设备：盘点镜像端口数量与千兆/万兆类型，核对安全设备能否输出 syslog，用资产台账与真实流量比对找出未备案主机，输出业务基线。

旁路部署（约3天）。各组件旁路接入、组成独立网络，与业务网无交集，选在业务低峰窗口完成。

真实流量POC（约2周）。挑三到五个场景实测：异常外联定位、勒索感染路径还原、未备案资产发现，全程记录从告警到下钻到具体会话的耗时。

输出与交接。出具实测报告，同步整理资质包供招标环节调用。

六、回到那个会议室：这笔钱买的到底是什么

开头那三问——6个月留存占几个机柜、现有服务器够不够、三年要追加几次硬盘——本质是在问：这笔采购，买的是一台临时设备，还是一套长期稳定、不用反复追加投入的数据底座。