为什么要接入 SIEM
单台设备的告警只能说明「有人试过」，把它与防火墙会话、主机日志、账号登录记录放在一起，才可能回答「有没有成功」。IPS 日志接入 SIEM 的价值就在这里：通过跨设备关联，把孤立的规则命中拼成一条能读懂的攻击链。
对接质量取决于字段
不同设备的日志字段名与含义各不相同，接入质量取决于字段映射与归一化是否做到位：源地址、目的地址、端口、规则名、动作这些关键字段必须落到统一字段上，否则同类告警无法合并，关联规则也无从下手。
基本信息
| 对接方式 | syslog 转发、API 拉取、日志代理 |
|---|---|
| 关键工作 | 字段映射与归一、资产标签补齐、时间同步 |
| 价值 | 跨源关联分析、统一告警、集中检索 |
| 验证方式 | 抽样比对设备侧与平台侧的同一条告警 |
典型使用场景
- 判断一次攻击尝试是否得手，需要关联主机与账号日志
- 把多台设备的同类告警合并成一条事件
- 事件复盘时按时间线拉取多源数据
- 为值班提供统一界面的告警与研判入口
- 度量检测系统的运行效果与告警质量
- 合规要求集中留存与检索各类安全日志
对接检查项
对接检查项
# 1. 日志能否稳定到达并被成功解析（抽样验证字段）
# 2. 资产标签是否与资产台账对齐，能定位到业务系统
# 3. 时间是否同步，跨源时间窗能否对齐
# 4. 关联规则是否命中，做一次模拟验证
# 5. 告警分级与处置流程是否打通，有人负责关闭检查项与失败表现
| 检查项 | 失败时的表现 |
|---|---|
| 字段归一 | 同类告警无法合并，统计与检索失真 |
| 资产标签 | 告警定位不到业务系统，研判效率低 |
| 时间同步 | 跨源关联时间窗错位，还原的链路是错的 |
| 关联规则 | 平台只有检索功能，没有关联能力 |
对接前先统一资产命名与地址台账，否则关联分析会大量落空，平台用不起来。
字段未归一化时，不同设备的同类告警无法合并分析，告警量会成倍虚高，值班很快就不看了。
上线后做一次端到端验证：人为触发一条低危告警，确认它从设备出发、经过平台关联，最终出现在值班界面并能被关闭。