4.4 安全信息与事件管理 SIEM（产品技术档案）

信源等级：L1/L2/L3 ｜ 最后核验：2026-09-24 核心来源：《网络安全法》第 21 条、GB/T 22239-2019 等保 2.0、IDC IT 安全软件市场份额报告、IDC MarketScape 全球 SIEM 评估、奇安信/绿盟产品官方资料 关联文档：4.1 网络安全产品地图与OT联动、3.4 工业态势感知与安全管理平台

一、定义与定位

SIEM（Security Information and Event Management，安全信息和事件管理）：将分散设备的日志集中采集与标准化，通过关联分析、规则引擎与可视化实现安全事件的监测、告警、调查与合规报表的安全运营平台类产品。

产品演进链（行业演进共识，L4）：

日志管理/日志审计 → SIEM（日志集中+关联分析+告警）
→ SOC（安全运营中心，人+流程+工具）
→ 态势感知（全局风险可视化+预警）
→ SOAR（编排与自动化响应）
→ XDR（EDR+NDR+日志管理+UEBA+Web/邮件安全+威胁情报统一关联分析与自动响应）

XDR 定义出自 IDC：XDR 将包括 NDR 在内的多个网络安全能力（如 EDR、日志管理、UEBA、Web 和电子邮件安全、威胁情报等）集成到一个仪表盘上，进行智能化关联分析和自动化响应[5]。

能力演进：IDC MarketScape《2026 年全球企业 SIEM 供应商评估》将实时检测引擎、SIEM+SOAR+UEBA+攻击分析器整合单一工作界面列为下一代 SIEM 关键能力（Splunk 为领导者）[6]。

二、核心能力架构

层次	能力	说明
数据采集	Agent / 协议 / API 多源接入	典型协议与接口：Syslog、DB、SNMP、Netflow、API 接口、镜像流量、文件等[3]
数据处理	日志范式化（解析/归一化）	异构设备日志统一格式，解决日志分散、量大、格式不统一问题[4]
存储	海量日志集中存储检索	满足合规留存与回溯查询（原文留存防篡改）[4]
分析检测	关联分析引擎（CEP/流式）	规则引擎 + 上下文富化；奇安信 NGSOC 分布式流式关联分析引擎 SABRE 预置 500+ 关联分析规则、100+ 语义支撑[3]
智能检测	UEBA / 机器学习 / 威胁情报	例：基于机器学习的 DGA 检测宣称准确率 99.94%（奇安信 NGSOC 官方数据）[3]
告警与调查	告警降噪、事件聚合、攻击链分析	场景分析、实体分析、事件调查工具[3]
响应	SOAR 编排自动化处置	与 EDR/NDR/防火墙联动（见 4.1 联动表）
可视化	态势大屏/仪表板/合规报表	例：NGSOC 预置 11 个态势大屏视图（脆弱性/资产/威胁/攻击者/攻防演练等）[3]

三、等保合规落点（SIEM/日志审计的核心采购驱动）

依据	要求	等级
《网络安全法》第 21 条	采取监测记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月	L1 法律原文
GB/T 22239-2019 等保 2.0 基本要求	第三级安全通用要求：安全审计（含集中审计管理）与安全管理中心集中管控；审计保护与留存要求（“审计记录至少保存六个月”）	L1 标准原文（具体条款号 ⚠️ 待核实，以标准正式文本为准）
《网络安全法》《数据安全法》	日志留存合规是日志审计类产品的立身之本（绿盟 LAS 官方表述）[4]	L1
工控/关基扩展	工控扩展要求与《防护指南》对审计与运营中心的延伸要求（见 2.2、1.4）	L2

与 3.4 的关系：SIEM 是 IT 侧日志/事件平台；工业态势感知平台是其 OT 形态（叠加工控协议日志、设备指纹、生产网画像），二者在 4.1 联动表中已给出映射。

四、中国市场主要厂商与产品

4.1 产品档案（厂商官方资料，L3）

厂商/产品	关键能力与数据
奇安信 NGSOC（态势感知与安全运营平台）	大数据平台 + 分布式流式关联分析引擎 SABRE；500+ 关联规则、100+ 语义；多源数据接入（Syslog/DB/SNMP/Netflow/API/镜像流量/文件）；DGA 检测宣称 99.94%；全流量检测可还原数十种网络协议；威胁情报云端推送；11 个态势大屏；宣称已在数千家大型政企落地[3]
绿盟 LAS（日志审计系统）	大数据架构日志全生命周期管理（采集-存储-范式化-查询-告警-统计）；日志原文留存与防篡改；满足等保 2.0 与《网络安全法》日志留存要求；累计服务公安/检察院/高法/国税/审计局等 1500+ 客户，电力/管网/油气/煤炭等 1000+ 客户[4]
Splunk Enterprise Security（全球参照）	IDC MarketScape 2026 全球企业 SIEM 评估领导者；SIEM+SOAR+UEBA+攻击分析器整合单一调查视图[6]

4.2 市场数据

指标	数据	来源
2023 年中国 IT 安全软件市场规模	277.9 亿元，同比 +4.7%（终端安全、安全分析与情报等子市场持续增长）	IDC（2024-05 发布 2023H2 报告），L2[2]
中国”安全分析和情报”市场（态势感知/SIEM 类所属）	奇安信连续 4 年领跑（截至 2023H2；2022 年为连续 3 年）	IDC，L2[1][2]
GenAI 用例方向	生成式 AI 在网络安全的用例集中在安全运营、应用安全、数据安全、风险/暴露面管理、安全合规五大方向（安全运营居首）	IDC《生成式 AI 推动下的中国网络安全软件市场现状和技术发展趋势，2024》（Doc# CHC51928724，2024-11），L2[7]

⚠️ 待核实：中国 SIEM 单独细分市场的独立规模/份额数据未在本次信源中取得（IDC 中国口径通常并入”安全分析和情报”或”态势感知”细分）；国产厂商 SIEM 独立份额暂缺。

五、AI-SOC 与技术趋势（2024-2026）

1. 大模型赋能安全运营：IDC 指出生成式 AI 在提升威胁检测效率、统一安全策略、智能策略编排、提高人效方面价值显著，安全运营是首要用例方向[7]；AI 将用于威胁检测、告警降噪、报告生成与智能问答（对应 4.3 中 EDR 的同类演进）；
2. 平台化整合：SIEM+SOAR+UEBA+攻击面分析一体化单一工作界面（IDC MarketScape 2026 关键能力[6]）；
3. XDR 融合：SIEM 的日志/UEBA 能力与 EDR/NDR 遥测融合为 XDR 统一关联分析[5]；
4. 合规持续托底：日志留存（≥6 个月）、集中审计、集中管控是等保测评与关基检查的长期刚需（第三节）；
5. 数据源扩展：API 安全、云日志、容器遥测成为新型数据接入对象（NDR 市场监管重心转向数据安全与个人信息保护实效，L2[8]）。

六、来源引用

1. 奇安信集团，IDC《2022 年下半年中国 IT 安全软件市场跟踪报告》（奇安信终端安全五连冠、安全分析与情报三连冠、2022 年终端安全份额 19.7%）— https://www.qianxin.com/report/detail/rid/39 （L3 转引 IDC L2）
2. 奇安信集团，中国 IT 安全软件市场跟踪报告 2023H2（2023 全年 IT 安全软件 277.9 亿元，+4.7%；态势感知与安全运营类连续 4 年领跑）— https://www.qianxin.com/report/detail/rid/63 （L3 转引 IDC L2）
3. 奇安信集团，态势感知与安全运营平台（NGSOC）产品页 — https://www.qianxin.com/product/detail/pid/358 （L3）
4. 绿盟科技，绿盟日志审计系统 LAS — https://www.nsfocus.com.cn/html/2019/209_1008/57.html （L3）
5. IDC 咨询/安全内参，IDC：2023 年中国网络威胁检测与响应市场规模为 23.8 亿元（含 XDR 定义，2024-06-20）— https://www.secrss.com/articles/67279 （L2）
6. Splunk，IDC MarketScape：2026 年全球企业 SIEM 供应商评估 — https://www.splunk.com/zh_cn/form/idc-marketscape-siem.html （L2 转引）
7. IDC 咨询/安全内参，生成式 AI 推动下的中国网络安全软件市场现状和技术发展趋势，2024（Doc# CHC51928724，2024-11-08）— https://www.secrss.com/articles/72190 （L2）
8. 同花顺/IDC，IDC《中国网络威胁检测与响应市场份额，2025》（2026-07-30，监管重心转向数据安全与个人信息保护实效）— https://stock.10jqka.com.cn/20260730/c678556120.shtml （L2 转引）
9. 法律法规原文：《中华人民共和国网络安全法》第 21 条（网络日志留存不少于六个月）；GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（集中审计/安全管理中心要求）— L1，以官方发布文本为准