受控语言
确定性短句，一句一个概念，一词只有一个含义。读完它们，你就有了这一章的全部词汇。
- SIEM 是安全信息与事件管理：集中安全日志、实时关联分析、支撑检测与合规。
- 安全建设的三大痛点：设备各自为战、告警海量、溯源困难。
- SIEM 的原料是日志：防火墙、主机、应用、身份系统缺一不可。
- 关联分析是 SIEM 的心脏：把单条无害事件连成攻击链。
- 日志分析与安全设备分析互补：设备给结论，日志给过程。
- SIEM 架构链：采集、归一化、关联引擎、告警、调查、报表。
- 适用场景：等保合规、入侵检测、内部违规、事后溯源。
- 用户行为分析（UBA）让“谁在异常使用系统”变得可见。
- 流量分析（NTA）提供网络侧视角，与日志侧互相印证。
- 经典链条：WebLogic 漏洞利用的网络特征，与落地挖矿的主机日志互相咬合。
- SIEM 的价值 = 数据覆盖度 × 规则质量 × 响应速度。
结构图
SIEM 工作链：从杂讯到证据。图上的方块都可以点：点击查看它的职责。
交互式网页
概念自测：每题即点即判，答完看解析。目标：全对，或错得明白。
得分 0 / 4
Q1 SIEM 的“心脏”能力是？
解析 单条事件往往无害，关联起来才是攻击链——关联引擎是 SIEM 的核心。
Q2 “设备给结论，日志给过程”说明什么？
解析 安全设备直接给判定，日志还原攻击过程，两者结合才能既快又全。
Q3 SIEM 数据覆盖度不足的后果？
解析 关联分析依赖全景数据；关键源缺失，链条就接不上。
Q4 “WebLogic 漏洞利用→挖矿”案例体现了什么？
解析 入侵从网络到主机跨了多个层面：NTA 抓到利用特征，日志留下落地痕迹。
定制视频
本章分镜脚本（时间 / 画面 / 解说词）；成片在全书内容校准完成后统一制作。
| 时间 | 画面 | 解说词 |
|---|---|---|
| 0:00-0:12 | 十几台安全设备各自闪灯，互不相通 | 安全设备的通病：各自为战，告警成山，事后却拼不出真相。 |
| 0:12-0:35 | 杂乱日志汇入漏斗，吐出统一格式 | SIEM 第一步是归一化：让上百种设备说同一种语言。 |
| 0:35-1:00 | 三颗孤立事件点连成一条红色攻击链 | 关联分析是心脏：登录、提权、外联——单看都无害，串起来就是入侵。 |
| 1:00-1:20 | 网络流量特征与主机日志两条线索在屏幕上咬合 | 设备给结论，日志给过程；网络侧与主机侧互相印证，才是完整证据。 |
| 1:20-1:45 | 合规报表盖章完成 | 检测之外还有合规：留存与审计是 SIEM 的另一半使命。 |