安全資訊和事件管理 (SIEM) 系統從整個組織收集日誌，對其進行標準化處理，並將事件關聯起來以偵測威脅。防火牆、伺服器、終端、應用程式和雲端服務都會產生日誌。 SIEM 系統將這些日誌集中到一個位置，解析數據，並應用規則來尋找模式。一次登入失敗只是噪音。但如果出現一千次登入失敗後緊接著一次登入成功，則構成警報。 SIEM 系統會將這種關聯性呈現出來。

像 Splunk、Microsoft Sentinel 和 IBM QRadar 這樣的 SIEM 平台功能強大，但對設定要求很高，需要進行調優。預設情況下，它們會產生過多的警報和誤報，導致分析師疲於應對。其價值在於精心製定規則和整合威脅情報。 SIEM 也支援合規性。稽核人員希望看到日誌被收集、保留和審查，而 SIEM 正好可以提供這些證據。現代 SIEM 也加入了使用者行為分析和機器學習功能，以偵測靜態規則無法發現的異常情況。有些 SIEM 還與 SOAR 平台集成，實現自動化響應。 SIEM 是安全營運中心的中樞神經系統。沒有它，分析師就像盲人摸象；有了它，他們仍然需要付出巨大的努力。

SIEM功能

• 日誌收集－從多個來源收集數據
• 規範化－將格式轉換為通用模式
• 相關性－將不同來源的事件連結起來
• 發出警報－通知分析人員可疑活動
• 保留——儲存日誌以用於合規性和調查

安全資訊和事件管理 (SIEM) 系統的效能取決於其接收的日誌品質和運行的規則。輸入垃圾訊息，輸出噪音。