随着网络攻击的日益复杂和隐蔽，将正常通信流量与网络攻击区分开来也变得越来越困难了。对于安全管理员来说，最好的办法就是定期检查事件日志，查找预示攻击发生的异常事件，而不是等系统出现故障或危害发生时再采取措施。不过，从海量日志中获取有用信息是一个冗长而昂贵的过程，并经常导致用户对事件的滞后反应。这时，用户需要部署安全事件管理系统( SEM )。

        SEM能够帮助用户管理数量巨大的安全事件，并且在安全事件增加到某种程度时，进行关联分析以减少无关数据，帮助安全管理员检查事件日志。先进的SEM系统应用出色的分析算法改进关联性分析，并在警示通知级别提高时过滤错误信息和流量噪音，这样安全管理员就可以实时响应，而不是在几小时或几天后才做出反应。

        对于小型用户来说，典型的安全网络通常包括1台路由器、2到4台交换机、一台防火墙、一台入侵检测设备和VPN（虚拟专用网）设备。在发生攻击或者网络遭到破坏期间，这些设备往往产生大量数据，记录的事件也急剧增加。低端的SEM系统可以帮助小型用户针对骤增的突发事件做出快速响应。对于大型用户来说，采用具有扩展性的SEM系统管理网络，能够带来更大的投资回报。除了企业规模之外，用户在购买SEM系统时还需要从以下方面加以考虑。

        易于安装和使用：SEM的硬件和软件应该易于与用户现有的网络设备相互兼容，便于安全管理员安装和操作。

        支持的安全设备和代理数量：SEM系统应该支持用户的大多数安全设备，包括防火墙、路由器、入侵检测系统、虚拟专用网络和漏洞扫描评估等。

        易于定制关联规则和分析方法：用户的网络各不相同，面临不同的威胁和挑战，因此SEM系统应该易于定制，能够关联分析所有网络设备(包括不同厂商的不同型号设备)的事件，所采用的分析法也应该易于定制以适应不同的流量模式。

        对事件进行准确而实时的响应：在遭到网络攻击时和攻击加剧之前，用户需要获得准确的实时信息和正确的历史数据以着手进行响应。

        投入产出比：将部署SEM系统所获得的效率以及安全性，与部署SEM系统的总体成本（包括综合和维护费用）进行对比，看看是不是物有所值。