运维与 SOC

SIEM

定义

对安全事件与日志进行汇总、关联分析的平台(如Splunk、Sentinel等)。

它是安全可视化与合规应对(审计日志)的核心枢纽,将邮件安全判定结果接入其中,可以让整个攻击链条的全貌汇聚一处。容易被忽视的一点:只堆积日志却无人查阅只会白白耗费预算——必须明确哪类告警由谁、以何种方式响应(规则、责任人、SLA),SIEM才能真正发挥作用。