2026-11-09 01:36:15 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

SIEM：哪些规则在你的基础设施中真正有效

原创

Alexander
Alexander

网络与信息安全参考

2026年11月6日 11:59
山东

去阅读

SECURITY NOTES2026.11.05

SIEM 关联规则 · 哪些才真正生效

从事件源出发，而不是从规则清单出发——一套 SIEM 规则治理的落地顺序

DOODLE

规则能不能生效，先看数据到没到

SIEMMITRE ATT&CK

原文题图：不同系统的日志就像书架上的一册册典籍，SIEM 能检出什么，取决于它究竟收录了哪些

在介绍 SIEM 功能时，厂商几乎无一例外地把重点放在数字上：开箱即用的关联规则有多少条、过去一年新增了多少条、覆盖了多少项 MITRE ATT&CK 技术。诚然，这些数字是重要的——它们确实有助于衡量一套系统的效能，我们也会不时把这些数字拿出来分享。但关联规则不是什么护身符，规则更多并不意味着 SIEM 就更有效。事实上，可用规则的总量，更多说明的是这套系统所支持的使用场景有多丰富。而一个真正天天上手 SIEM 的分析师，最先关心的是另一个问题：这些规则里，究竟哪些会在我的公司真正生效、真正有用？答案远非总是显而易见，而原因甚至不在规则本身的质量。

PART

关联规则是怎么运作的

RULES DEPEND ON DATA

一条规则首先描述的是逻辑：什么与什么匹配、以什么顺序匹配、在多长的时间窗口内匹配；它还会指定来自特定来源的特定事件类型。比如，一条针对 Active Directory 组创建的规则，等的是 Windows 安全日志里的事件；一条针对可疑网络活动的规则，等的是 DNS 查询；一条针对进程操纵的规则，则由端点遥测的事件触发。换言之，一条规则能不能生效，取决于 SIEM 一开始是否收到了正确的数据。

上面那条 Active Directory 规则，在一家原则上不用 Windows 的公司里毫无意义。它会毫无报错地加载、出现在界面上，技术上确实“存在”——但它永远不会触发。原因很简单：它本来是冲着那些事件去的，而那些事件从未进入这套系统。

这就决定了部署 SIEM 时唯一正确的步骤顺序。不要从规则清单出发、再一路朝自己的基础设施凑；要反过来走：先确定哪些事件源确实已经接入、正在向 SIEM 输送数据，然后才去看哪些规则能在这些数据上跑起来。倒过来做，只会落到两种结局之一：期望落空（几百条规则，却几乎产生不了检测），或者陷入逐条规则手工排查的苦役——分析师打开每一条规则的说明、核对该规则的事件要求，再判断它值不值得用。

先有数据，后有规则。 事件源的清单决定了规则的清单，而不是反过来——这是 SIEM 落地唯一不会走弯路的顺序。

PART

覆盖率百分比到底意味着什么

A MAP, NOT A SCORE

MITRE ATT&CK 覆盖率讲的几乎是同一件事：它常常被不加思索地当成衡量产品效能的标尺。问题在于，这些数字悬在真空里，背后没有任何现实条件。覆盖率只有针对某一组真正在跑的规则时才有意义。而正如上文所见，这组规则又取决于事件源的集合。这也是为什么同一套 SIEM，在两家不同的公司会显示出不同的 MITRE ATT&CK 覆盖率。当 Windows 日志、端点遥测、邮件网关和网络设备全部接入时，覆盖率会明显宽于事件源更少的公司。

正确的读法是：它不是给 SIEM 内容打的分，而是一张地图——标出你的 SIEM 在当前遥测条件下能看见什么。某一战术覆盖率低，是一个信号：要检测它，需要你手上还没有的数据。这样一解读，它就变成了与管理层沟通时清清楚楚的论据。不是“我们还需要再加一个事件源”，而是“矩阵的这一块目前对我们是隐形的，而补上这个缺口需要这些投入”。

PART

值得定期核查的三件事

THREE QUESTIONS

要把 SIEM 用到位，值得定期问自己几个问题——不只是部署系统的时候，而是长期、反复地问：

每一个已接入的事件源，都有规则在处理吗？

基础设施一直在变：新系统上线、新集成接入。每一次这样的变化，都是重新检查一遍的理由——现在是不是已经有该启用的规则了。

我是否确切知道哪条规则需要哪些事件？

有时规则不触发，并不是整个事件源缺失，而是某一个事件类型没被采集：审计策略根本就没有配置去记录它。这个疏漏要尽快补上。

我是否从 MITRE ATT&CK 的角度理解自己的覆盖率？

重点不是做出好看的报告，而是排出下一步该补哪些事件源：哪些能带来可见性上最大的增益。

可是，怎样才能不花上大把时间去翻每一条规则的说明，就把这些问题答上来？我们有办法。

PART

知识库能帮上什么忙

KNOWLEDGE BASE

为了帮分析师更轻松地摸清我们这套方案的检测逻辑，我们在知识库中新增了一个板块，收录 Kaspersky SIEM 的完整规则集。本质上，它是一个承载 SOC Package 规则集官方文档数据、并让这些数据易于使用的工具。它由三个部分组成：

Library（规则库）。一张涵盖所有关联规则的表格，可以按任意列排序和筛选：类别、MITRE 战术与技术、事件源、事件类型。搜索覆盖所有字段，包括描述。双击一条规则，就会打开一张载有该规则详细信息的卡片。

Builder（构建器）。一个用来组装规则集的工具，让它贴合你已经拥有的事件源。分析师只需勾选公司现有的事件源，就能拿到一份匹配的规则清单、简要统计，以及需要配置采集的事件类型。这个工具还会生成一个正则表达式——你可以把它粘贴到 Kaspersky SIEM Web 界面的搜索栏，一步就把所有匹配的规则关联到关联器（correlator）上，不必逐条手动挑选。

MITRE。ATT&CK 矩阵的一个视图，战术可以展开为技术与子技术。每个矩阵条目都配一张卡片，里面有来自 MITRE 网站的说明，以及 SOC Package 的覆盖详情。已覆盖与未覆盖的条目用颜色区分，图表则展示各战术的覆盖率。