①【项目背景】三台安全设备，一个不看告警的人
稀土大厦一家企业，买了下一代防火墙、EDR、WAF，每年安全预算不少。今年做攻防演练，蓝队从外网打进来用了六个小时，期间WAF报了四十多次SQL注入，防火墙报了C2外联，EDR报了powershell异常，全躺在各自的控制台里。IT主管说：一天二十万条告警，就一个人兼职看，看不过来。
②【咨询设计】SIEM不是买来就灵
很多客户觉得上了SIEM就有人帮着看，但实际上没有规则调优和值班流程，SIEM就是个更贵的日志仓库。方案：先把三类日志接进来（防火墙Netflow、WAF攻击日志、EDR进程与网络事件），做字段归一化；再写关联规则，比如「WAF拦截同一源IP超过50次 + 该IP随后登录成功」升级为高危；告警分三级，一级只发企业微信，二级打电话，三级直接拉应急群；最后定值班SOP：谁看、多久看一次、什么情况升级、处置留痕。规则不要一次写五十条，先上十条高价值的，跑两周看误报，再逐条加。
③【施工规划】日志留存和时钟，是两条底线
按等保要求日志留存不少于六个月，一天二十万条按每条500字节算，一年约36GB，加原始包和索引留2TB够用。所有设备统一NTP，偏差控制在1秒内，否则关联规则全乱。采集器放独立VLAN，只开Syslog 514和Netflow 2055，管理口不对外。磁盘做RAID1，日志分区单独划分。
④【安全补丁】日志服务器自己不能被攻破
SIEM的默认口令必须改，开双因子；只允许被采集设备访问，禁止反向访问内网；日志写入后设只读，防止攻击者删日志；每天生成哈希校验值，存到另一台机器。演练时专门测了「删日志」场景，从发现到恢复用了十二分钟。
⑤【验收交付】告警要降下来，MTTR要降下来
调优两周：日均告警从二十万降到三百一十条，其中高危十二条，误报率18%。真实事件平均发现时间从六小时降到十一分钟，平均处置时间从两天降到四小时。交付规则清单、值班表、SOP手册、月度报告模板，另外留了一份降噪参数备份，换设备时可以直接导入。
⑥【售后承诺】安全这事，买设备只是首付
我们提供每月规则调优和每季度攻防演练，7×24电话值守。稀土大厦到昆区二十分钟，2小时到场。技术热线17704868686，半夜也接。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）