SIEMvsThreat Hunting

SIEM

SIEM 是 SOC 的核心平台，集中收集来自防火墙、服务器、终端等各种设备的日志，通过关联分析发现安全威胁。Splunk 和 Microsoft Sentinel 是市场领导者。

Threat Hunting

Threat Hunting 是安全团队主动出击寻找潜伏在网络中的威胁，而不是被动等待 SIEM 告警。假设攻击者已经在你的网络中——然后去证明或证伪这个假设。

SIEM

• SOC 的核心分析平台
• 日志收集 → 关联分析 → 告警 → 响应
• 误报率高是最大痛点，AI 正在改善

Threat Hunting

• 核心理念：假设已被入侵，主动寻找证据
• 需要高级分析师的经验和直觉
• 数据驱动：日志、流量、终端遥测是狩猎的弹药

SIEM

集中收集、存储和分析安全日志以检测和响应安全威胁的平台

Threat Hunting

安全团队基于假设驱动主动搜索网络中未被检测到的潜伏威胁的实践

SIEM

• 企业安全事件的集中监控
• 合规审计的日志留存
• 威胁检测规则的管理和执行

Threat Hunting

• 发现绕过自动化检测的高级威胁
• 验证和提升现有检测规则的有效性
• APT 攻击的早期发现

SIEM

SIEM 将分散在各处的安全日志集中到一个平台，通过预定义规则和关联分析来检测安全威胁。典型的 SIEM 部署需要接入数十种日志源：防火墙、IDS/IPS、EDR、AD、云平台等。SIEM 的核心挑战是：日志量巨大导致存储成本高、规则维护复杂、误报率居高不下。新一代 SIEM 正在引入 AI 和 UEBA（用户行为分析）来降低误报率和发现未知威胁。

Threat Hunting

Threat Hunting 是安全运营的高级实践，由经验丰富的分析师基于假设驱动的方法主动搜索网络中的异常活动。与被动的告警响应不同，Threat Hunting 假设攻击者已经绕过了现有防御，通过分析日志、网络流量和终端数据来发现潜伏的威胁。常用方法包括：基于 IOC 的搜索、基于 TTP 的行为分析、以及基于异常的统计分析。Threat Hunting 的发现会反馈到检测规则中，持续提升防御能力。