花三百万建的 SIEM最后只剩一块大屏

w小小杂谈w
w小小杂谈w

w小小杂谈w

2026年11月4日 20:29
湖北

去阅读

为什么国内八成的安全运营中心，验收完就开始荒废

三年前我参加过一个 SIEM 项目的验收会。

会议室里坐了两排人，正面墙上一块 6 米宽的拼接屏。中国地图上闪着红色光点，右侧滚动最新的告警，底部一条曲线在跳，显示着实时的日志接入速率。

甲方领导看了十分钟，说“做得不错”，然后在验收单上签了字。

那套系统花了三百多万。一年后我再去，屏幕还亮着，但已经没人看了。值班的小伙子把它调成了静音——红点闪就闪吧，反正一天要闪两万多下。

这并非个案。我见过的 SIEM 项目里，大部分都是这个结局：上线即巅峰，验收即终点。

很多人把原因归到“产品不行”，或者“数据质量太差”。都不是。

真正的死因，在签合同那天就写好了。

一、你验收的是设备，不是能力

翻开一份典型的 SIEM 合同，验收条款通常长这样：

• 接入日志源 ≥ 200 个
• 内置关联规则 ≥ 800 条
• 告警生成响应时间 ≤ 3 秒
• 支持大屏可视化展示
• 提供 7×24 运维服务

每一条都可量化、可测试、可签字。

但它们全部指向同一件事：这套系统能不能跑起来。没有一条指向另一件事：它有没有抓住过一次真实的攻击。

于是就出现了那个荒诞的场面——验收当天，所有人关心的是“日志接够了没有”“规则加载了没有”“大屏刷新正常不正常”，没有人问一句：这个月它报出来的告警里，有几条是真的？

我们后来复盘过几个项目，这个数字通常在百分之一到百分之五之间。剩下的都是噪音。但验收表上没有这一栏，所以它从来不是问题。

二、告警不是资产，是负债

传统安全建设的心智是“多建一层多一层保险”。防火墙、WAF、EDR，加了就加了，不加白不加。

告警不是这样运作的。每一条告警都要消耗一个人的注意力，而注意力是有限资源。

一个日均两万条告警的运营中心，按一个分析师一天能认真看完两百条算，需要一百个人。没人有这个编制。所以实际发生的是另一套流程：分析师开始扫标题，只看高危，看到重复的直接批量关掉。

一旦人开始批量关闭告警，这套系统就死了。它还在运行，还在产生数据，还在往大屏上推红点，但它已经不在任何人的决策链上了。

我常说一句话：一个没人骂的 SIEM，通常也没人真用。

真正在用的系统，分析师会天天骂它——太吵、太慢、误报太多。反倒是那些安安静静、一年到头没人提的系统，才是被彻底放弃的。

三、用的人不对，考核的也不对

大部分甲方单位的安全运营岗，挂在 IT 运维体系下面。

这个组织位置，从一开始就决定了它的目标：是“别出事”，不是“抓坏人”。

于是考核指标变成了三个数字：告警处置率百分之百、平均响应时长小于十分钟、值班表零空缺。

这三个指标，全都可以通过“更快地把告警关掉”来达成。而没有一个指标是“本季度发现并闭环了几起真实威胁”。

指标错了，人就会朝着指标优化，而不是朝着安全优化。这不是人的问题，是设计的问题。

四、如果重来一次，我会这么做

讲了这么多问题，说点能落地的。

第一，把验收标准从“能力清单”改成“运营指标”

不要写“接入 200 个日志源”，改写成：“上线 90 天内，日均有效告警不超过 200 条，其中至少 20 条完成从发现到处置的完整闭环，并留存复盘记录。”

前者厂商在自己办公室里就能做完，后者只能在你的网络里、用你的数据做完。这一条改动，能把验收的性质彻底变掉。

第二，先打通三条链，不要全量接入

挑三个你最怕的场景——比如账号异常登录、内网横向移动、数据外发。只围绕这三条，把“日志接入、告警、分诊、处置、复盘”整条链路跑通。

一条跑通的链，价值大于八十条半截的链。

第三，用“用例”替代“规则”

规则是“如果 A 且 B，则告警”。用例是“如果 A 且 B，那么谁在多久内做什么，做完记录在哪”。

前者是厂商交付的，后者是你自己必须建的。SIEM 的真正资产不是那八百条规则，是这份用例清单——它记录了这家公司到底关心什么。

第四，给告警设预算

明确规定：每天进到分析师桌面上的告警，不得超过某个数。超了就调阈值、做聚合、加白名单。

这条听起来很土，但它是最有效的。因为预算一旦成为硬约束，所有人都会被迫开始讨论一个问题——什么才真正值得看。

第五，前 90 天，不做大屏

大屏是给参观的人看的，不是给干活的人用的。

如果你的分析师真正在用的界面，只是一个朴素的告警列表加一个工单系统，那就用这个。等真的需要汇报了，再做大屏也不迟。

五、一个反面到让人意外的例子

去年我见过一个团队，四个人，SIEM 是三年前的老版本。

他们的做法很土：只接了十二个日志源，规则只有六十条，没有大屏，界面丑得没法看。

但他们有一张表——每周更新的“用例表”。六十条规则对应六十个用例，每个用例写清楚四件事：谁负责、多久内响应、处置动作是什么、复盘记在哪。

一年下来，他们闭环了三十七起真实事件，其中五起是外部攻击的早期阶段。

老板对他们的评价只有一句话：“这个团队，我知道他们在干什么。”

而隔壁那个花了八百万、接了三百个日志源、有大屏的团队，同一个季度的汇报材料上写着：“累计处理告警 216 万条。”

216 万条。这个数字看起来很壮观，但它什么也说明不了。

写在最后

SIEM 从来不是“买了就安全”，而是“有人天天用才安全”。

它的价值不在部署规模，不在规则数量，也不在那块屏幕上。它在于：当一件真的坏事发生时，有人在两小时内看见了它，并且知道该做什么。

所以，如果你的 SIEM 现在很安静，别庆幸。

去那块屏幕后面看看——还有没有人在看。

你们单位的 SIEM，现在一天产生多少条告警？其中真正被处理过的，有几条？评论区聊聊，我挑几个有代表性的展开写第二篇。