SIEM 加速器：基础、标准和高级

概述

这是一项固定价格、限时的实施服务，旨在在一 (1) 个全新的 Elastic Cloud Hosted (ECH) 或无服务器集群上部署基础 Elastic SIEM 解决方案，包括配置数据摄取、设置仪表板和实施检测规则。本服务仅限于一 (1) 个全新集群，不涵盖现有部署。除非双方签署订购单（变更单）另行约定，否则任何额外的集群、部署、环境或扩展的工作内容均明确不属于本服务范围。

适用范围

• 开展技术调研，最终确定最多两 (2) 个开箱即用型集成数据源（不包括 Elastic Defend），选择最多两 (2) 条开箱即用型检测规则（不包括机器学习 (ML) 规则），定义高层级数据字段和用例，并为最多两 (2) 个客户角色设计基本的基于角色的访问控制 (RBAC) 结构。
• 配置 ECH/无服务器集群，配置 Fleet Server，在 Kibana 中设置 SIEM 和基于角色的访问控制，并最终确定检测规则和仪表板设计。
• 安装 Elastic Agent，为两 (2) 个选定数据源配置并验证集成，调整并验证两 (2) 条选定的开箱即用型检测规则，并利用实时数据和客户反馈构建/完善一 (1) 个定制仪表板。
• 举办知识转移研讨会，提供文档和最终报告，将项目资产移交给客户，并完成项目收尾工作。

范围外

本项目不包含：

• 对范围中定义的两 (2) 个数据源之外的数据源进行配置或集成，包括 Elastic Defend 数据源
• 任何并非直接来自该集成的数据，例如 Cribl 或 Snowflake 中的 PAN 日志
• 除了范围中定义的两 (2) 条开箱即用型检测规则之外，还包括基于机器学习 (ML) 的任何规则
• 对所提供的开箱即用型规则内容进行调优和验证之外的自定义检测规则开发
• 威胁狩猎、事件响应或 SOAR/案例管理配置
• 对额外集群、部署，或环境进行评估、配置，或集成
• 评估或迁移现有 Elastic 部署；本服务仅涵盖全新实施项目
• 超出本服务所包含的一 (1) 个定制仪表板之外的定制仪表板或可视化开发
• 针对特定数据源、超出开箱即用集成默认配置的解析、丰富或标准化处理
• 内部 Elastic 交付协调之外的项目管理
• 持续支持、运营责任或项目结束后的补救协助，除非另行购买

任何超出上述范围的工作均须由双方另行签署订购单（变更单），并可能产生额外费用，或导致项目假设条件和进度安排发生变化。

互动时间线

• 计划在购买后约 6–8 周开始，具体视资源可用性和客户准备情况而定
• 由 Elastic 顾问或在 Elastic 监督下的认证合作伙伴资源交付
• 除非另有书面约定，否则服务将以远程方式交付
• 交付预计将按照 Elastic 的安排，在连续的工作日或连续的日历周内进行
• 若因客户可用性、访问问题、环境准备情况或其他客户依赖因素导致交付延迟、中断或重新安排，Elastic 可重新分配资源、调整时间安排，或要求提供订购单（变更单）
• 因客户延迟、无法安排时间、未满足依赖条件或无法提供所需访问权限而无法使用的已安排项目时间，将计入咨询总天数

固定价格条件和假设

固定价格基于以下假设和条件：

• 客户在项目启动会议前提供所有必需的访问权限、凭据、文档，以及相关架构信息
• 客户须指定一名主要联系人，并确保相关技术人员在整个服务期间能够参与并及时响应
• 在项目开始时，目标 ECH/无服务器集群可访问、可正常运行，并已准备好进行配置
• 客户目标、优先事项，以及检测用例在项目启动会议前得到明确并达成一致
• 本服务仅涵盖全新实施项目，不包括对现有部署的迁移或评估
• 本次合作的范围仅限于配置最多两个 (2) 个开箱即用型集成数据源（不包括 Elastic Defend）、最多两个 (2) 条开箱即用型检测规则（不包括 ML 规则），以及适用于最多两个 (2) 个客户角色的基于角色的访问控制（RBAC）
• 本次服务仅限于配置一个 (1) 集群
• 项目启动后，不会对范围、目标环境、架构，或目标进行实质性更改
• Elastic 的配置和建议取决于客户在服务期间提供或从目标环境中获取的信息和数据的完整性、准确性，以及及时性

如果上述任何假设未能满足，Elastic 可能会调整时间安排、限制所提供的服务以符合固定价格范围，或要求提供订购单（变更单）。

交付成果

• 一 (1) 个已配置 SIEM 和基于角色的访问控制 (RBAC) 的全新 ECH/无服务器集群
• 已为两 (2) 个开箱即用型数据源配置并验证集成（不包括 Elastic Defend）
• 两 (2) 条经过调优和验证的开箱即用型检测规则（不包括 ML 规则）
• 一 (1) 个定制仪表板
• 一 (1) 份最终报告
• 合作文档
• 一 (1) 场知识转移研讨会

完成

交付已配置的集群、已验证的数据源集成、已调优的检测规则、定制仪表板、最终报告，以及 Elastic 交付或提供知识转移研讨会后，项目将被视为已完成。如果 Elastic 已尽商业上合理的努力，尝试在约定范围内安排并交付服务，而客户延迟、无法联系、未满足必要的依赖条件，或因其他原因无法参与，则也可视为项目已完成。完成不以客户参与或使用任何交付成果或会议，或对任何交付成果或会议作出响应为条件。

一般条款

本套餐说明中使用但未定义的大写术语，其含义以订单表、适用的服务说明，或 Elastic 服务协议中的规定为准。

此固定价格服务包不适用正式的客户签字确认，亦不适用里程碑或交付成果验收流程。每项服务一经完成即视为已获验收。

"完成"是指，就某项服务而言，Elastic 完成本服务套餐范围内各项活动之时，包括（如适用）交付本套餐范围中所述的任何书面报告、材料或知识转移会议，或本套餐的限时服务期届满之时，以先发生者为准。完成不要求客户签字确认或接受任何交付成果。

客户对其环境、系统，以及数据的备份、维护，以及安全承担全部责任。对于因本服务引起或与本服务相关的任何配置更改、数据丢失、中断，或对客户环境的其他影响，Elastic 概不负责。

本次合作将交付一个配置完毕的全新 Elastic SIEM 集群，包括数据源集成、检测规则、定制仪表板和最终报告，所有这一切都在规定的固定价格范围内完成。除上述规定的交付成果外，Elastic 不对任何具体的性能、成本、运营或业务成果作出保证。客户仍须对持续运营、服务范围之外的配置变更，以及服务结束后与其环境相关的所有活动承担全部责任。

本服务包中提及的验证、测试、验收测试或验收测试框架、黄金查询、上线准备及正式上线，均指 Elastic 执行、演示或交付的活动，并不构成客户验收、签字确认、测试或付款的任何条件。无论是否开展上述活动，均按照本服务包中的规定认定服务是否完成；任何费用均不得因等待测试结果、验证或正式上线而暂扣或延期支付。

概述

这是一项固定价格、限时的实施服务，旨在在一 (1) 个全新的 Elastic Cloud Hosted (ECH) 或无服务器集群上部署基础 Elastic SIEM 解决方案，包括配置数据摄取、设置仪表板和实施检测规则。本服务仅限于一 (1) 个全新集群，不涵盖现有部署。除非双方签署订购单（变更单）另行约定，否则任何额外的集群、部署、环境或扩展的工作内容均明确不属于本服务范围。

适用范围

• 开展技术调研，最终确定最多五 (5) 个开箱即用型集成数据源（不包括 Elastic Defend），选择最多五 (5) 条开箱即用型检测规则（不包括机器学习 (ML) 规则），定义高层级数据字段和用例，并为最多两 (2) 个客户角色设计基本的基于角色的访问控制 (RBAC) 结构。
• 配置 ECH/无服务器集群，配置 Fleet Server，在 Kibana 中设置 SIEM 和基于角色的访问控制，并最终确定检测规则和仪表板设计。
• 安装 Elastic Agent，为五 (5) 个选定数据源配置并验证集成，调整并验证五 (5) 条选定的开箱即用型检测规则，并利用实时数据和客户反馈构建/完善两 (2) 个定制仪表板。
• 举办知识转移研讨会，提供文档和最终报告，并将合作交付物移交给客户。

范围外

本项目不包含：

• 对范围中定义的五 (5) 个数据源之外的数据源进行配置或集成，包括 Elastic Defend 数据源
• 任何并非直接来自该集成的数据，例如 Cribl 或 Snowflake 中的 PAN 日志
• 除范围中定义的五 (5) 条开箱即用型规则之外的检测规则，包括任何基于机器学习 (ML) 的规则
• 对所提供的开箱即用型规则内容进行调优和验证之外的自定义检测规则开发
• 威胁狩猎、事件响应或 SOAR/案例管理配置
• 对额外集群、部署，或环境进行评估、配置，或集成
• 评估或迁移现有 Elastic 部署；本服务仅涵盖全新实施项目
• 超出本服务所包含的两个 (2) 定制仪表板范围的定制仪表板或可视化开发
• 针对特定数据源、超出开箱即用集成默认配置的解析、丰富或标准化处理
• 内部 Elastic 交付协调之外的项目管理
• 持续支持、运营责任或项目结束后的补救协助，除非另行购买

任何超出上述范围的工作均须由双方另行签署订购单（变更单），并可能产生额外费用，或导致项目假设条件和进度安排发生变化。

互动时间线

• 计划在购买后约 6–8 周开始，具体视资源可用性和客户准备情况而定
• 由 Elastic 顾问或在 Elastic 监督下的认证合作伙伴资源交付
• 除非另有书面约定，否则服务将以远程方式交付
• 交付预计将按照 Elastic 的安排，在连续的工作日或连续的日历周内进行
• 若因客户可用性、访问问题、环境准备情况或其他客户依赖因素导致交付延迟、中断或重新安排，Elastic 可重新分配资源、调整时间安排，或要求提供订购单（变更单）
• 因客户延迟、无法安排时间、未满足依赖条件或无法提供所需访问权限而无法使用的已安排项目时间，将计入咨询总天数

固定价格条件和假设

固定价格基于以下假设和条件：

• 客户在项目启动会议前提供所有必需的访问权限、凭据、文档，以及相关架构信息
• 客户须指定一名主要联系人，并确保相关技术人员在整个服务期间能够参与并及时响应
• 在项目开始时，目标 ECH/无服务器集群可访问、可正常运行，并已准备好进行配置
• 客户目标、优先事项，以及检测用例在项目启动会议前得到明确并达成一致
• 本服务仅涵盖全新实施项目，不包括对现有部署的迁移或评估
• 本次服务仅限于配置最多五 (5) 个开箱即用型集成数据源（不包括 Elastic Defend）、最多五 (5) 条开箱即用型检测规则（不包括 ML 规则），以及适用于最多两 (2) 个客户角色的基于角色的访问控制 (RBAC)
• 本次服务仅限于配置一个 (1) 集群
• 项目启动后，不会对范围、目标环境、架构，或目标进行实质性更改
• Elastic 的配置和建议取决于客户在服务期间提供或从目标环境中获取的信息和数据的完整性、准确性，以及及时性

如果上述任何假设未能满足，Elastic 可能会调整时间安排、限制所提供的服务以符合固定价格范围，或要求提供订购单（变更单）。

交付成果

• 一 (1) 个已配置 SIEM 和基于角色的访问控制 (RBAC) 的全新 ECH/无服务器集群
• 已为五 (5) 个开箱即用型数据源配置并验证集成（不包括 Elastic Defend）
• 五 (5) 条经过调优和验证的开箱即用型检测规则（不包括 ML 规则）
• 两 (2) 个定制仪表板
• 一 (1) 份最终报告
• 合作文档
• 一 (1) 场知识转移研讨会

完成

交付已配置的集群、已验证的数据源集成、已调优的检测规则、定制仪表板、最终报告，以及 Elastic 交付或提供知识转移研讨会后，项目将被视为已完成。如果 Elastic 已尽商业上合理的努力，尝试在约定范围内安排并交付服务，而客户延迟、无法联系、未满足必要的依赖条件，或因其他原因无法参与，则也可视为项目已完成。完成不以客户参与或使用任何交付成果或会议，或对任何交付成果或会议作出响应为条件。

一般条款

本套餐说明中使用但未定义的大写术语，其含义以订单表、适用的服务说明，或 Elastic 服务协议中的规定为准。

此固定价格服务包不适用正式的客户签字确认，亦不适用里程碑或交付成果验收流程。每项服务一经完成即视为已获验收。

"完成"是指，就某项服务而言，Elastic 完成本服务套餐范围内各项活动之时，包括（如适用）交付本套餐范围中所述的任何书面报告、材料或知识转移会议，或本套餐的限时服务期届满之时，以先发生者为准。完成不要求客户签字确认或接受任何交付成果。

客户对其环境、系统，以及数据的备份、维护，以及安全承担全部责任。对于因本服务引起或与本服务相关的任何配置更改、数据丢失、中断，或对客户环境的其他影响，Elastic 概不负责。

本次合作将交付一个配置完毕的全新 Elastic SIEM 集群，包括数据源集成、检测规则、定制仪表板和最终报告，所有这一切都在规定的固定价格范围内完成。除上述规定的交付成果外，Elastic 不对任何具体的性能、成本、运营或业务成果作出保证。客户仍须对持续运营、服务范围之外的配置变更，以及服务结束后与其环境相关的所有活动承担全部责任。

本服务包中提及的验证、测试、验收测试或验收测试框架、黄金查询、上线准备及正式上线，均指 Elastic 执行、演示或交付的活动，并不构成客户验收、签字确认、测试或付款的任何条件。无论是否开展上述活动，均按照本服务包中的规定认定服务是否完成；任何费用均不得因等待测试结果、验证或正式上线而暂扣或延期支付。