セキュリティオペレーションセンター（SOC）は、さまざまなセキュリティツールからの何千ものアラートによって、しばしば処理能力を超えてしまう。
これらのインシデントを集約、関連付け、そして最も重要な優先順位付けを行うための主要ツールは、セキュリティ情報およびイベント管理（SIEM）システムです。シスコのSDSIドメイン「リスク、イベント、要件」によれば、SIEMはSOCの中枢として機能します。
SIEM（SplunkやCisco Secure Cloud Analyticsなど）は、ファイアウォール、エンドポイント、クラウドサービスからログを取り込み、相関ルールとリスクスコアリングアルゴリズムを使用して、優先度の低い「ノイズ」と重大なセキュリティインシデントを区別します。たとえば、1回のログイン失敗は無視される可能性がありますが、10回のログイン失敗の後に1回のログイン成功と大量のデータ転送が発生した場合は、優先度の高いインシデントとしてエスカレーションされます。エンドポイント検出および対応（EDR）（オプションB）とエンドポイント保護プラットフォーム（EPP）（オプションD）は、個々のホストに対して詳細な可視性と保護を提供しますが、組織のリスクを優先順位付けするために必要なクロスプラットフォーム相関がありません。CloudWatch（オプションC）はAWSリソースの監視サービスですが、マルチソースセキュリティ相関エンジンとしては機能しません。SIEMを使用することで、SOCアナリストは限られた時間を最も影響の大きい脅威に集中させることができ、より効率的で効果的なインシデント対応プロセスを確保できます。