SOC 与 SIEM 视频墙：Splunk、ELK 与事件响应

本指南梳理 SIEM 视频墙在实践中的信号源组合，涵盖 Splunk、ELK Stack / Elastic、Microsoft Sentinel、IBM QRadar、Wazuh，以及 Genetec、Milestone 一类的 VMS 信号源。

面向 SOC 的视频墙：买方检查清单

选购面向 SOC 的视频墙时，买方通常要先判断：这个房间需要的是数字标牌、AV 硬件，还是真正用于运营的视频墙软件。

对于安全运营中心，视频墙的技术规格应围绕事件响应来制定：SIEM 告警、分析师下钻分析、VMS 视频证据、响应责任归属，以及操作员安全、可控地放大显示信号源的能力。

如果视频墙无法管控好凭据、信号源健康状态、布局和审计日志，它就还不能胜任 SOC 工作。

SIEM 视频墙：哪些内容应该上墙

采购 SOC 视频墙时，首先要避免的错误是把 SIEM 当作唯一的信号源。SIEM 是告警的主干，但只有当团队能把告警上下文与遥测数据、物理证据放在一起查看时，视频墙才真正发挥价值。

实用的 SIEM 视频墙会在事件处置期间始终让以下四个层面保持可见：

• 告警层：Splunk Enterprise Security、Microsoft Sentinel、IBM QRadar、Elastic Security / ELK Stack、Wazuh，或买方现有的 SIEM 控制台。
• 遥测层：EDR / XDR 数据看板、防火墙状态、身份提供商事件、漏洞暴露面，以及网络流量摘要。
• 视频层：来自 Genetec、Milestone 或同类系统的 VMS 摄像头多画面；在物理访问需要管控的场所，还包括数据中心机柜摄像头。
• 响应层：ServiceNow、Jira、PagerDuty、事件应急会议桥状态、交接班记录和升级联系人。

正因为信号源如此多样，SOC 视频墙需要浏览器渲染、RTSP / NDI 摄像头接入、IP-KVM、命名布局，以及基于角色的操作员控制。单纯的数字标牌播放器可以显示 SIEM 画面，却无法成为事件处置过程中的控制界面。

SOC 视频墙参考布局

实用的 SOC 视频墙，设计原则与 NOC 视频墙相同：按事件期间的负荷来设计，而不是按平静时段的数据看板数量。对于 8 块显示屏的 SOC 视频墙，常见的基线配置如下：

• 2 块显示屏用于 SIEM 告警队列和攻击时间线。
• 1 块显示屏用于 EDR / XDR 高危终端状态。
• 1 块显示屏用于身份认证、防火墙、VPN 和云安全态势。
• 2 块显示屏用于 VMS 摄像头、数据中心摄像头或物理安防事件。
• 1 块显示屏用于事件工单和升级责任归属。
• 1 块机动显示屏用于放大显示的信号源：抓包分析、数据看板下钻视图，或经 IP-KVM 接入的分析师工作站。

对于 16 块显示屏的视频墙，不要简单地把网格翻倍，而应增设第二个事件分区：一个分区用于当前事件的响应处置，另一个分区用于常态值守。

这样可以避免一种常见的失效模式：重大事件期间，整面视频墙变得难以辨读。

Splunk 视频墙、ELK Stack 视频墙与 Grafana 数据看板墙

Splunk 视频墙通常是一组经浏览器渲染的 Splunk Enterprise Security 数据看板，而不是某种专门的视频墙产品。

对它的要求是：稳定的身份验证、刷新控制、过期数据标记，以及在不暴露分析师整个工作站的前提下，将某个搜索结果或重要事件（notable event）视图放大显示的能力。

ELK Stack 视频墙同理，只是数据看板换成了 Kibana / Elastic。应把每个数据看板都当作一路视频墙信号源来管理，明确其负责人、刷新间隔、回退状态和访问控制模型。

如果某个数据看板的令牌在凌晨 03:00 过期，视频墙应明确显示身份验证失败，而不是呈现空白窗口或一张过期的截图。

Grafana 数据看板墙或 Grafana 视频墙，是同一运营模式在遥测面板上的应用。在 SOC 中，它通常位于 SIEM 旁边，承载基础设施健康状态、身份异常、防火墙负载、终端状态或平台可用性。

如果是纯粹的网络运营中心，请以网络运营中心视频墙架构作为主要的配套参考。

安全运营中心视频墙的要求

规划安全运营中心视频墙的买方，往往还在 AV 硬件、数字标牌和视频墙控制软件之间做选择。正确的要求应着眼于运营，而非装饰：

• 支持本地部署或物理隔离：SOC 遥测数据和摄像头画面的渲染，不应依赖外部 SaaS 控制平面。如果采购要求系统必须在无云环境下运行，请参阅物理隔离视频墙指南。
• 信号源隔离：单个 RTSP 摄像头、数据看板或 SIEM 会话失效，不得导致整块画布黑屏。
• 安全的操作员控制：值班主管可以放大显示或重新排列信号源，而不会在视频墙上暴露凭据。
• 审计日志：预设、信号源变更以及放大显示的事件视图，都应能够追溯还原，供事后复盘使用。
• 成本模型清晰：在同一个视频墙 TCO 计算器中，比较按显示屏订阅、专用设备更新换代、技术支持和服务器生命周期的成本。

Craft Wall 的适用场景

如果买方希望采用本地 Linux 服务器、将浏览器数据看板作为原生信号源、接入 RTSP / NDI 视频流、使用命名的事件布局，并以永久授权取代按显示屏订阅，Craft Wall 适用于这类 SOC 与 SIEM 视频墙。

如果决定性的需求是带有预置企业集成、由云端管理的大型多站点部署，Craft Wall 就不是合适的选择。这种情况下，请在决策前参阅 Userful 替代方案页面，客观地进行比较。

对于以专用设备为主的 AV 项目，Datapath 等硬件控制器方案依然适用。如果 SOC 正在替换现有的 Fx4 / WallControl 系统，请先查阅 Datapath Fx4 替代方案中的迁移路径，并在采购下一台设备之前，对更新换代周期进行测算。

SOC 视频墙：从候选名单到技术规格

无论项目叫作安全运营中心视频墙、SIEM 视频墙、Splunk 视频墙还是 ELK Stack 视频墙，买方的期望通常都一样。

一是明确的信号源组合：SIEM 告警、安防摄像头画面、遥测数据和工单；二是快速的放大显示流程，使视频墙在事件期间保持清晰可读，同时无需改动主调度系统或控制台上的操作控制。

• 明确的架构：先确定一套命名的 SOC 视频墙布局，再对照 NOC 参考架构和公用事业控制室视频墙指南加以核验。
• 与优先级匹配的候选名单：先在 AV over IP 术语词条中核实信号源的传输方式，再根据项目是合规优先、控制优先还是成本优先，参照 Datapath Fx4 替代方案、Userful 替代方案和最佳视频墙软件对比，筛选候选产品。
• 尽早测算成本和规模：在视频墙 TCO 计算器中分别测算 8 块和 16 块显示屏的方案，然后在编写技术规格之前，借助视频墙选型指南规划信号源数量。
• 五类信号源：无论团队使用哪种 SIEM（Splunk、ELK Stack 或其他产品），布局都应围绕 SIEM、摄像头、遥测、工单，以及一个具备故障切换能力、足够可靠的操作员放大显示视图来组织。

延伸阅读

请将本页与网络运营中心视频墙、最佳视频墙软件对比，以及 SOC 和 NOC 的术语定义结合阅读。

关于成本，请在视频墙成本计算器中测算 8 块和 16 块显示屏的方案，并借助视频墙选型指南规划信号源数量。

对于信号源以 SCADA 和停电响应为主的公用事业控制室，请参阅公用事业控制室视频墙指南。