Ein SIEM sammelt Protokolldaten aus Servern, Netzwerkgeräten, Anwendungen und Sicherheitssystemen, führt sie zusammen und wertet sie auf Anzeichen von Angriffen aus. Sein Nutzen liegt in der Zusammenschau über Systemgrenzen hinweg, denn erst die Verbindung mehrerer Einzelereignisse ergibt ein Muster: eine fehlgeschlagene Anmeldeserie, danach eine erfolgreiche Anmeldung, danach ein Zugriff auf ein Dateiverzeichnis, das dieser Nutzer sonst nie öffnet.
Ausgewertet wird über Regeln, zunehmend ergänzt um Verhaltensanalyse, die Abweichungen vom gelernten Normalbetrieb erkennt. Zweiter, oft wichtigerer Zweck ist die revisionssichere Aufbewahrung, weil sich ein Vorfall ohne vollständige Protokolle im Nachhinein nicht rekonstruieren lässt. Die typischen Schwierigkeiten sind Datenmenge, Kosten und Fehlalarme; ein SIEM ohne Personal, das Meldungen bearbeitet, erzeugt lediglich ein Archiv.
Datenschutzrechtlich ist zu beachten, dass Protokolle personenbezogene Daten enthalten, weshalb Zweck, Zugriff und Löschfristen festzulegen sind und die Auswertung nicht zur Verhaltenskontrolle von Mitarbeitern werden darf.