用途：把新日志源系统化接入 SIEM，以支持安全监控与检测。流程包括规划数据源、配置采集代理、构建解析器、将字段归一化到通用模式并验证数据质量。资料引用英国 NCSC 观点：应按安全价值相对采集成本的高低对日志源排优先级。
主要能力：提供三级优先级框架。一级关键源包括 Active Directory 安全事件日志、防火墙流量日志、EDR/AV 端点告警、VPN/远程访问连接日志、DNS 查询日志、邮件网关日志；二级包括 Web 代理、云平台审计日志、数据库审计/查询日志、DHCP/IPAM、文件服务器访问日志；三级包括应用服务器、打印服务器、门禁/物理访问、网络设备 Syslog。
使用方式：分五步。一是发现与评估，确认系统类型版本、日志格式、EPS 估算、网络与防火墙要求，评估可检测的威胁与 MITRE ATT&CK 覆盖，估算每日 GB 量与许可影响。二是配置采集，资料给出 rsyslog 接收与转发配置、Splunk Universal Forwarder 的 inputs.conf（Security、System、Sysmon、PowerShell 日志）、AWS CloudTrail 的 CloudFormation 模板。三是解析与归一化，给出 Splunk props.conf/transforms.conf 自定义解析示例及 CIM 字段映射表（如 src_addr→src_ip、fw_action→action）。四是校验数据质量，用 SPL 检查事件到达、字段提取覆盖率、CIM 合规与时间戳延迟。五是启用检测覆盖，验证关联搜索并创建源专属检测规则。
适用场景：安全评估、事件响应流程、计划性安全测试或审计、通过实操验证安全控制。
限制与前提：需已部署 SIEM、源系统到采集器的网络可达、源系统管理员权限、CIM 或等效模式文档、生产变更审批。资料未提供具体收费、价格或效果数据。