什么是SIEM（安全信息和事件管理）？

安全信息和事件管理 (SIEM) 解决方案是安全运营中心(SOC) 工具包的核心部分。SIEM 解决方案从整个组织的安全架构中收集数据并发出攻击警报，从而实现快速的威胁检测和响应，但这是否足够？

SIEM 流程和能力

SIEM 解决方案是小型安全团队可以扩展以保护大型企业的主要原因之一。通过遵循一套流程，SIEM 生成高质量的安全数据集合，可用于实现许多不同的安全目标。

过程

SIEM 解决方案旨在为检测和响应网络安全威胁提供重要环境。为了提供此上下文以及威胁检测和响应，SIEM 将经历以下过程：

• 数据收集：数据收集是组织安全架构中 SIEM 角色的重要组成部分。SIEM 将从整个组织网络的系统和安全解决方案中收集日志和其他数据，并将其全部收集到一个单一的中央位置。
• 数据聚合和规范化： SIEM 收集的数据来自许多不同的系统，并且可以采用各种不同的格式。为了能够执行比较和分析，SIEM 将聚合这些数据并执行标准化，以便所有比较都是“苹果对苹果”。
• 数据分析和策略应用：借助单一、一致的数据集，SIEM 解决方案可以开始在数据中寻找网络安全威胁的迹象。这可以包括查找预定义问题（如策略中所述）以及使用已知模式检测到的其他潜在攻击迹象。
• 警报生成：如果 SIEM 解决方案检测到网络安全威胁，它会通知组织的安全团队。这可以通过生成 SIEM 警报来完成，并且可以利用与票务和错误报告系统或消息传递应用程序的集成。

能力

SIEM 解决方案旨在充当组织网络内所有网络安全数据的中央票据交换所。这使其能够执行许多有价值的安全功能，例如：

• 威胁检测和分析：安全信息和事件管理解决方案内置了对策略和数据分析工具的支持。这些可以应用于 SIEM 收集和汇总的数据，以自动检测潜在入侵组织网络或系统的迹象。
• 取证和威胁追踪支持： SIEM 解决方案的作用是从整个组织的网络中收集安全数据，并将其转换为单个可用的数据集。该数据集对于主动威胁搜寻和事件后数字取证调查非常宝贵。分析师无需尝试手动收集和处理他们需要的来自不同系统和解决方案的数据，而是可以简单地查询 SIEM，从而显着提高调查的速度和有效性。
• 合规性：公司必须遵守越来越多的数据保护法规，这些法规具有严格的数据安全要求。SIEM 解决方案可以帮助证明合规性，因为它们收集和存储的数据可以证明所需的安全控制和策略已经到位并得到执行，并且公司没有遇到任何可报告的安全事件。

安全信息和事件管理 (SIEM) 工具

许多不同的安全供应商创建了 SIEM 解决方案。一些领先且最常用的 SIEM 包括：

• ArcSight
• IBM QRadar
• 日志节奏
• 斯普伦克

这些解决方案的范围从旨在支持小型企业的预算友好型解决方案到旨在在确保跨国组织安全方面发挥核心作用的企业级解决方案。

SIEM 限制

SIEM 工具非常强大，可以成为组织安全架构的宝贵组成部分，但它们并不完美。除了优点之外，SIEM 解决方案也有其局限性，包括：

• 复杂集成：要有效，SIEM 解决方案必须连接到组织的所有网络安全解决方案和系统，其中可能包括各种系统。因此，将 SIEM 与所有这些工具集成可能既复杂又耗时，并且需要高水平的安全专业知识和对相关系统的熟悉程度。
• 基于规则的检测： SIEM 解决方案可以检测广泛的网络安全威胁；然而，这些检测主要基于预定义的规则和模式。这意味着这些系统可能会错过与这些已知模式不匹配的新颖或变体攻击。
• 缺乏情境化警报验证： SIEM 解决方案可以通过数据聚合和对警报应用额外的上下文来显着减少 SOC 的警报量。但是，SIEM 通常不执行上下文警报验证，从而导致向安全团队发送误报警报。