分析引擎是安全平台发现问题的瓶颈，实时性，高效性，决定了局域网信息安全管理平台的性价比。在实际分析过程中发现，很多攻击通过日志特征很容易就发现了，例如日志数据增加异常，日志里面的行长得异常，没有日志数据（或日志数据减少异常），而这些并不需要关联分析来发现。正如海量数据的分层存储，安全事件的分层分析是分析引擎的发展趋势。

对于实时事件分析主要分为基础层分析和研究层分析：

基础层分析：在这一层完成日志到事件的转变，包括关键日志识别，从普通的背景事件中识别关键事件（事件识别与分类必须完备），通过常用技术手段是数据归并、过滤；初步异常事件发现，通过基础分析引擎的应用，包括特征匹配分析，统计阀值分析，将分析的安全事件结果传递给更高层级做进一步分析。

研究层分析：在这一层完成事件到预警、工单、风险等处理的转变；多引擎分析架构包括基于趋势发展分析，状态机分析，数据挖掘分析，多属性关联分析，多类型事件间的关联分析。

局域网信息安全管理的实际效果，通常来源与管理分析规则的落地程度，以及关联分析普适性预制场景，以及持续升级是保持安全管理平台活力的直接来源。与云端和安全服务相结合，是大多数企业较好的选择。