Trellix SIEM

Trellix SIEM 提供实时日志采集、关联分析、威胁情报集成和异常行为检测，支持 DGA 域名识别、UEBA 用户行为建模及 STIX/TAXII 威胁情报订阅。内置 700+ 合规报表模板，覆盖 PCI DSS、HIPAA、GDPR 等场景，可通过 Trellix DTI 联动 EDR 响应。

采用按 EPS（每秒事件数）或节点数授权的订阅制模式，通常按年付费，基础套件包含采集器和关联引擎，高级模块如 UEBA、威胁情报需单独购买。大客户可谈永久授权+年维护费模式，具体报价需通过代理商询价，无公开标价。

适合 500 人以上中大型企业，特别是金融、运营商、政府等需要满足等保和合规审计的组织。支持日均 TB 级日志吞吐，可处理来自防火墙、IPS、EDR、云工作负载等多源数据。中小企业因运维成本较高不太推荐，建议日事件量低于 5K EPS 的场景使用云 SIEM。

支持本地物理机部署、VMware/KVM 虚拟化部署，以及 AWS、Azure 云上 VM 部署。架构上分采集器（Collector）、管理服务器和数据库三组件，可分布式部署跨地域多数据中心。私有云部署需至少 3 台服务器起步，对硬件要求较高，SSD 存储是必备。

相比 Splunk，Trellix SIEM 授权成本低 30-50%，且原生集成 FireEye 威胁情报；相比 QRadar，关联规则引擎对 APT 攻击链的检测更细，支持 Trellix EDR 双向联动。但劣势是社区生态较弱，自定义 SPL 类查询语言不如 Splunk SPL 灵活，二次开发门槛较高。