安全信息和事件管理 (SIEM) 系统从整个组织收集日志，对其进行规范化处理，并将事件关联起来以检测威胁。防火墙、服务器、终端、应用程序和云服务都会生成日志。SIEM 系统将这些日志集中到一个位置，解析数据，并应用规则来查找模式。一次登录失败只是噪音。但如果出现一千次登录失败后紧接着一次登录成功，则构成警报。SIEM 系统会将这种关联性呈现出来。

像 Splunk、Microsoft Sentinel 和 IBM QRadar 这样的 SIEM 平台功能强大，但对配置要求很高，需要进行调优。默认情况下，它们会生成过多的警报和误报，导致分析师疲于应对。其价值在于精心制定规则和集成威胁情报。SIEM 还支持合规性。审计人员希望看到日志被收集、保留和审查，而 SIEM 正好可以提供这些证据。现代 SIEM 还加入了用户行为分析和机器学习功能，以检测静态规则无法发现的异常情况。有些 SIEM 还与 SOAR 平台集成，实现自动化响应。SIEM 是安全运营中心的中枢神经系统。没有它，分析师就像盲人摸象；有了它，他们仍然需要付出巨大的努力。

SIEM 功能

• 日志收集——从多个来源收集数据
• 规范化——将格式转换为通用模式
• 相关性——将不同来源的事件联系起来
• 发出警报——通知分析人员可疑活动
• 保留——存储日志以用于合规性和调查

安全信息和事件管理 (SIEM) 系统的性能取决于其接收的日志质量和运行的规则。输入垃圾信息，输出噪音。