SIEM 的价值在关联
把安全设备、服务器、应用与账号系统的日志接入 SIEM，做跨源关联与统一告警，才能把一条孤立的规则命中还原成完整攻击链。成败不取决于买了什么平台，而取决于三件基础工作：字段归一、资产台账、时间同步，缺一项关联规则就会大面积落空。
基本信息
| 接入源 | 安全设备、服务器、应用、账号系统 |
|---|---|
| 基础工作 | 字段映射与归一、资产标签、时间同步 |
| 价值 | 跨源关联、统一告警、集中检索 |
| 常见方式 | syslog 转发、日志代理采集、API 拉取 |
典型使用场景
- 单设备告警无法判断攻击是否得手，需要关联主机日志
- 合规要求集中留存与检索日志
- 事件复盘时按时间线拉取多源数据
- 告警统一分级后接入值班处置流程
- 安全运营度量：告警量、误报率、处置率
对接步骤
对接步骤
# 1. 梳理日志源清单与格式，抽样确认字段
# 2. 建立解析规则并抽样验证（先跑通两三个源）
# 3. 补全资产标签：IP、业务系统、责任人
# 4. 编写关联规则，在测试环境验证命中
# 5. 告警接入值班流程，明确分级与响应时限基础工作与失败表现
| 基础工作 | 做不到时会怎样 |
|---|---|
| 字段归一 | 同类告警无法合并，检索与统计都失真 |
| 资产台账 | 告警定位不到业务系统，研判效率低 |
| 时间同步 | 跨源关联的时间窗对不上，还原链路错误 |
| 解析质量 | 日志入库但字段为空，关联规则无法命中 |
先做小范围高价值日志源，跑通解析与关联后再扩展；一次性接入全部日志源会拖垮解析质量。
告警不接入处置流程时，SIEM 只是另一个日志存储，告警堆积到没人看。
评估对接成效别只看接入了多少日志源：关联规则的命中数量与告警平均处置时长是否下降，才反映 SIEM 有没有真正起作用。