| 对接方式 | syslog 转发、API 拉取、日志代理 |
|---|---|
| 关键 | 字段映射与时间同步、资产标签补齐 |
| 价值 | 跨设备关联分析与统一告警 |
对接检查
对接检查
1. 日志能否稳定到达并解析
2. 资产标签是否与 CMDB 对齐
3. 关联规则能命中（做一次模拟验证）
4. 告警分级与处置流程打通对接前先统一资产命名与 IP 台账，否则关联分析会大量落空。
IPS 对接 SIEM
把 IPS 告警并入 SIEM 与防火墙、主机日志关联，才能还原完整攻击链；对接质量取决于字段规范与归一化。
易错点
- 字段未归一化时，不同设备同类告警无法合并分析
- 资产表不准会让告警无法定位到业务系统，研判效率下降
数据来源与参考
- NIST SP 800-92（日志管理指南）
- NIST SP 800-94（与 SIEM 联动）