用途：配置集中式安全日志基础设施，使用 SIEM 平台（Elastic SIEM、Microsoft Sentinel、Wazuh、Splunk）检测威胁、调查事件并维护合规审计轨迹。适用于跨基础设施的集中安全事件监控、编写认证失败/权限提升/数据外泄等威胁检测规则、多云（AWS、Azure、GCP、Kubernetes）日志聚合设计、满足日志保留与审计合规要求、降低误报与告警疲劳、估算大规模安全日志成本，以及与事件响应流程集成。
主要能力：平台选型决策框架（按预算、基础设施、数据量、团队经验）；SIGMA 通用检测规则格式及编译为 Elastic EQL、Splunk SPL、Microsoft KQL；平台专属检测查询；集中式、分布式（多区域）与云原生日志聚合架构；日志保留与合规要求（GDPR、HIPAA、PCI DSS、SOC 2）及冷热分层存储；安全事件记录清单与严重级别；告警调优与降噪（白名单、阈值调整、多事件关联）。
使用方式：安装 SIGMA 编译器 pip install sigma-cli，再用 sigmac -t es-eql sigma_rule.yml 等命令编译规则；部署 Wazuh 可执行 git clone https://github.com/wazuh/wazuh-docker.git && cd wazuh-docker/single-node && docker-compose up -d；Elastic Cloud 需在 cloud.elastic.co 注册并创建 Security 层部署。
限制：具体功能、收费与价格、平台效果等资料未提供完整细节，需以官方文档为准；成本示例仅为资料中的估算，非承诺。