第3章：SIEM平台简介——商业与开源产品怎么选
选SIEM（安全信息与事件管理）平台，这事其实挺头疼的。
我记得刚入行那会儿，公司让评估SIEM方案。我花了整整两周，打了七八个厂商电话，最后发现——很多功能听起来天花乱坠，实际落地根本不是那么回事。这个坑，我希望你别再踩一遍。
这一章，我就跟你聊聊主流的商用和开源SIEM产品。不吹不黑，只讲我实际用过、验证过的东西。
3.1 什么是SIEM？
SIEM，说白了就是把分散在各处的安全日志集中收上来，再做分析、告警、甚至自动响应。
我见过很多公司买了SIEM却用不好。为什么？因为他们只把它当日志存储用。你想想看，日志攒了一堆，没人看，那跟没有有什么区别？SIEM真正的价值在于——从日志里发现你平时看不见的问题。
3.2 选SIEM前，先想清楚这几点
我个人习惯，选平台之前先列需求清单。不要被厂商的PPT带偏。
核心决策维度
- 日志处理能力：每天多少条日志？峰值是多少？
- 合规支持：你们过PCI-DSS还是等保？平台有没有内置报告模板？
- 运维成本：团队几个人？有没有专职的安全运营人员？
- 扩展性：扛不扛得住未来3-5倍的日志增长？
嗯，这里要注意——很多开源方案看着免费，但人力和服务器成本加起来，可能比商用还贵。老实说，我见过不只一家公司在这上面翻了车。
3.3 主流商用SIEM产品对比
下面这三家，我都在实际项目里碰过。不讲官方文档那套，讲点真实的。
| 产品 | 优势 | 短板 | 我的一点看法 |
|---|---|---|---|
| Splunk ES | 搜索快、分析强、生态丰富 | 贵，真贵。按数据量计费，量大了心疼 | 如果你预算足，用它基本不后悔 |
| IBM QRadar | 内置关联规则完善，合规模板多 | 配置复杂，硬件依赖高 | 适合大型金融、政企。部署周期长 |
| ArcSight | 老牌产品，功能全面，技术文档丰富 | 界面老、性能优化要求高 | 老项目常见，新项目我建议认真评估 |
避坑提醒：我曾经在一个金融项目里，客户选了某商用SIEM，结果日志量翻倍后，许可证费用直接超预算两倍。所以——签合同前一定确认好数据量上限和扩展费用。
3.4 主流开源SIEM方案
开源方案这几年成熟了很多。说实话，中小团队完全可以用它们搭一套可靠的SIEM。
3.4.1 ELK Stack（Elasticsearch + Logstash + Kibana）
最火的组合。我自己搭过好几套，说几点实在的：
- 优点是灵活、社区活跃、扩展简单
- 缺点是安全告警引擎（Elastic Security）还需要额外配置
- 适合有一定开发能力的团队
举个例子，我上个月帮一个电商客户搭的ELK+HSE（Elastic Security），日处理2000万条日志，服务器成本一个月不到3000块。换成商用方案，这个量至少翻三倍。
3.4.2 Wazuh
基于OSSEC发展起来的方案，内置了SIEM和XDR功能。
- 自带FIM（文件完整性监控）、漏洞检测
- 跟ELK集成方便
- 适合安全合规要求较高的场景
一个小技巧：Wazuh的agent部署非常简单，一条命令就能装好。我一般会先在一台测试机上跑起来，再批量推到生产环境。前提是做好防火墙策略，别让agent端口暴露到公网。
3.4.3 OSSEC
老牌HIDS，主要做主机层面的日志分析和文件完整性检查。
- 轻量、稳定
- 但单打独斗做SIEM信息量有限
- 适合做辅助监控，不建议当主SIEM用
3.5 商用vs开源：一张表说明白
| 对比维度 | 商用SIEM | 开源SIEM |
|---|---|---|
| 初始成本 | 高（许可证+硬件+服务） | 低（仅需服务器和人力） |
| 运维复杂度 | 低（厂商支持） | 高（靠团队自己） |
| 开箱即用 | 好（大量预置规则和报表） | 一般（需要自己写规则） |
| 扩展性 | 好（但受许可证限制） | 好（完全看硬件资源） |
| 合规认证 | 成熟（厂商已过认证） | 需要自己满足 |
3.6 我的最终建议
如果你问我选什么——没有标准答案。但我可以给你一个我个人常用的判断逻辑：
选商用SIEM当满足以下任意两条：
- 日均日志量大于5000万条
- 团队没有专职的安全运维人员
- 必须通过严格合规审计（如PCI-DSS、HIPAA）
- 预算不是核心限制因素
否则，我建议优先考虑开源方案：
- ELK+Elastic Security 适合灵活需求
- Wazuh 适合注重合规的中小企业
- 动手能力强又想省钱，可以两者结合