申田由甲

优点:架构上能适应大型企业的部署需求和扩展要求。API挺好用。规则定制灵活。各种功能组件丰富，能满足企业的安全运营需求。缺点:贵，贵，贵，如果后续资金跟不上就不要选择了。个别版本不稳定。部门功能水土不服。...

一般siem自带的数据库能够支持自身的需求。如果需要建设和siem功能互补的数据分析平台，要根据需求选择，比如数据量，数据特点等

从企业安全建设同行业间多次交流来看，SIEM不是万能的，不要过多迷信于采购、建设SIEM平台后即可以实现安全能力的全部整合，对于攻击事件能够做到实时响应。一定要结合企业自身IT能力的成熟度、SIEM产品本身在同行业的案例...

旁路部署不会影响业务架构。但有的日志收集需要安装探针，探针的稳定性会是运维团队担心的地方，所以尽量采用运维团队自己选择的探针。

预期差可能是上项目前对领导的各种夸大宣传，一旦到了项目实施阶段，各种问题接踵而来。要解决就要从源头做起，项目筹划阶段就要和领导充分沟通，要估计到项目的困难层度，才能从一开始就不会有过高的预期。...

个人觉得缩小范围放低预期从威胁的根本去思考SIEM的价值，有效利用现有资源做出实际的案例，帮助企业及时发现威胁和漏洞，逐步在企业中建立其重要度是一条比较可行的道路。简单说，我觉得SOC和SIEM这种就像是内功，而一般的安...

要满足安全场景，首先要获取该场景下的所有日志，还要评估siem是否具备将这些日志进行关联分析的能力。当然，对于监控对象也要熟悉，熟悉架构和实现技术，这样才可以调优规则。...