第4章 SIEM与日志分析技术面试：日志收集、关联规则、ELK/Splunk、实战案例

Q1：请描述你如何设计一个SIEM日志收集方案，需要考虑哪些关键点？

• 考察点：日志架构设计能力、对不同数据源的理解、可用性与性能权衡。
• 回答框架：① 梳理资产与日志类型（网络设备、系统、应用）→ ② 确定传输方式（Agent/Syslog/API）→ ③ 处理日志格式统一与过滤 → ④ 考虑高可用与存储策略。
• 示例回答：“我会先按资产分类，例如防火墙采用Syslog，服务器使用Filebeat，云服务则通过API拉取。对日志做字段标准化（如时间戳、源IP），使用Kafka缓冲防止丢失，再写入Elasticsearch。每天日志量约2TB，采用冷热分层存储，保证查询性能。”
• 追问：“如果日志量突然暴增10倍，你的架构会怎么应对？”
• 避坑：不要只讲工具底层原理，要结合实际业务场景和数据量级；避免遗漏采集器自身安全与资源占用问题。

Q2：你如何编写SIEM关联规则以检测横向移动攻击？

• 考察点：关联规则设计思路、攻击链理解、误报控制能力。
• 回答框架：① 定义检测场景（如Pass-the-Hash）→ ② 提取关键字段（源IP、目标IP、协议、认证结果）→ ③ 设置时间窗口与阈值 → ④ 加入白名单过滤。
• 示例回答：“例如检测同IP在5分钟内对多台主机使用SMB失败登录后成功的事件。在Splunk中用transaction命令，字段包括src_ip、dest_ip，时间窗口300秒，触发条件为失败次数≥3且后续有成功登录。配合已知管理IP白名单降低误报。”
• 追问：“如何评估这条规则的准确率？你会用什么指标？”
• 避坑：不要只写语法而忽略业务意义；一定要提到利用攻击链上下文减少误报，避免只靠单一告警。

Q3：你在使用ELK或Splunk时，遇到的最大性能瓶颈是什么？如何优化？

• 考察点：实战调优经验、对组件原理的理解、故障排查思路。
• 回答框架：① 定位瓶颈（查询慢/写入堵塞）→ ② 分析根因（索引设计/分片策略/资源）→ ③ 执行优化（冷热隔离、索引生命周期管理、查询重写）。
• 示例回答：“遇到过Elasticsearch查询因分片过多且未按时间分区导致延迟。解决方案：调整索引模板按天建索引、设置1主1副本分片、启用force merge。同时将历史数据迁移至obs节点，查询响应从秒级降到200ms以内。”
• 追问：“如果用户反馈Splunk搜索超时，你会怎么排查？”
• 避坑：不要只重复官方文档；要体现自己动手测试过、对比过不同方案；避免只说理论不说具体配置参数。