面向多地点企业，基于ELK集群的SIEM应采用何种架构？

各位好，针对多地点企业搭建基于ELK栈的SIEM系统，我整理了一套分阶段落地的实用思路，既能满足各地点本地日志的存储与查询需求，又能实现全局统一的安全告警管控：

• 本地日志采集层：各地点的所有业务、IT资产，将日志统一发送至部署在本地的Logstash实例。如果部分资产不支持直接推送日志，建议搭配轻量采集器（比如Filebeat）来确保日志采集的可靠性，避免丢数。
• 本地日志解析与存储：本地Logstash完成日志的初步解析工作——包括字段提取、格式标准化、脏数据清洗后，将全量日志写入本地ElasticSearch集群，满足各地点日常的日志查询、合规审计需求。
• 安全日志筛选与跨地域传输：本地ElasticSearch通过精准查询或索引生命周期管理（ILM）规则，筛选出对SIEM核心有用的安全日志（比如登录失败记录、异常访问行为、恶意代码告警等），并将这些日志转发至本地的输出专用Logstash。该Logstash通过企业内部VPN通道加密传输这些安全日志到总部的集中式ELK集群，确保跨地点传输的安全性与稳定性。
• 集中式安全告警与态势感知：在总部的集中式ELK集群上，利用Elastic Security模块配置自定义关联规则、异常检测模型，对来自各地点的安全日志进行统一关联分析，触发实时安全告警，并生成全局可视化的安全仪表盘，帮助安全团队实现全企业范围的安全态势感知。

内容的提问来源于stack exchange，提问作者lalebarde