安全信息和事件管理 (SIEM) 解決方案是安全運營中心(SOC) 工具包的核心部分。SIEM 解決方案從整個組織的安全架構中收集數(shù)據(jù)并發(fā)出攻擊警報，從而實現(xiàn)快速的威脅檢測和響應，但這是否足夠？
SIEM 流程和能力
SIEM 解決方案是小型安全團隊可以擴展以保護大型企業(yè)的主要原因之一。通過遵循一套流程，SIEM 生成高質量的安全數(shù)據(jù)集合，可用于實現(xiàn)許多不同的安全目標。
過程
SIEM 解決方案旨在為檢測和響應網絡安全威脅提供重要環(huán)境。為了提供此上下文以及威脅檢測和響應，SIEM 將經歷以下過程：
- 數(shù)據(jù)收集：數(shù)據(jù)收集是組織安全架構中 SIEM 角色的重要組成部分。SIEM 將從整個組織網絡的系統(tǒng)和安全解決方案中收集日志和其他數(shù)據(jù)，并將其全部收集到一個單一的中央位置。
- 數(shù)據(jù)聚合和規(guī)范化： SIEM 收集的數(shù)據(jù)來自許多不同的系統(tǒng)，并且可以采用各種不同的格式。為了能夠執(zhí)行比較和分析，SIEM 將聚合這些數(shù)據(jù)并執(zhí)行標準化，以便所有比較都是“蘋果對蘋果”。
- 數(shù)據(jù)分析和策略應用：借助單一、一致的數(shù)據(jù)集，SIEM 解決方案可以開始在數(shù)據(jù)中尋找網絡安全威脅的跡象。這可以包括查找預定義問題（如策略中所述）以及使用已知模式檢測到的其他潛在攻擊跡象。
- 警報生成：如果 SIEM 解決方案檢測到網絡安全威脅，它會通知組織的安全團隊。這可以通過生成 SIEM 警報來完成，并且可以利用與票務和錯誤報告系統(tǒng)或消息傳遞應用程序的集成。
能力
SIEM 解決方案旨在充當組織網絡內所有網絡安全數(shù)據(jù)的中央票據(jù)交換所。這使其能夠執(zhí)行許多有價值的安全功能，例如：
- 威脅檢測和分析：安全信息和事件管理解決方案內置了對策略和數(shù)據(jù)分析工具的支持。這些可以應用于 SIEM 收集和匯總的數(shù)據(jù)，以自動檢測潛在入侵組織網絡或系統(tǒng)的跡象。
- 取證和威脅追蹤支持： SIEM 解決方案的作用是從整個組織的網絡中收集安全數(shù)據(jù)，并將其轉換為單個可用的數(shù)據(jù)集。該數(shù)據(jù)集對于主動威脅搜尋和事件后數(shù)字取證調查非常寶貴。分析師無需嘗試手動收集和處理他們需要的來自不同系統(tǒng)和解決方案的數(shù)據(jù)，而是可以簡單地查詢 SIEM，從而顯著提高調查的速度和有效性。
- 合規(guī)性：公司必須遵守越來越多的數(shù)據(jù)保護法規(guī)，這些法規(guī)具有嚴格的數(shù)據(jù)安全要求。SIEM 解決方案可以幫助證明合規(guī)性，因為它們收集和存儲的數(shù)據(jù)可以證明所需的安全控制和策略已經到位并得到執(zhí)行，并且公司沒有遇到任何可報告的安全事件。
安全信息和事件管理 (SIEM) 工具
許多不同的安全供應商創(chuàng)建了 SIEM 解決方案。一些領先且最常用的 SIEM 包括：
- ArcSight
- IBM QRadar
- 日志節(jié)奏
- 斯普倫克
這些解決方案的范圍從旨在支持小型企業(yè)的預算友好型解決方案到旨在在確保跨國組織安全方面發(fā)揮核心作用的企業(yè)級解決方案。
SIEM 限制
SIEM 工具非常強大，可以成為組織安全架構的寶貴組成部分，但它們并不完美。除了優(yōu)點之外，SIEM 解決方案也有其局限性，包括：
- 復雜集成：要有效，SIEM 解決方案必須連接到組織的所有網絡安全解決方案和系統(tǒng)，其中可能包括各種系統(tǒng)。因此，將 SIEM 與所有這些工具集成可能既復雜又耗時，并且需要高水平的安全專業(yè)知識和對相關系統(tǒng)的熟悉程度。
- 基于規(guī)則的檢測： SIEM 解決方案可以檢測廣泛的網絡安全威脅；然而，這些檢測主要基于預定義的規(guī)則和模式。這意味著這些系統(tǒng)可能會錯過與這些已知模式不匹配的新穎或變體攻擊。
- 缺乏情境化警報驗證： SIEM 解決方案可以通過數(shù)據(jù)聚合和對警報應用額外的上下文來顯著減少 SOC 的警報量。但是，SIEM 通常不執(zhí)行上下文警報驗證，從而導致向安全團隊發(fā)送誤報警報。
