什么是SIEM（安全信息与事件管理）？
SIEM（安全信息与事件管理）是一种软件，通过实时收集和关联IT环境中的安全事件数据，帮助组织检测、分析和响应安全威胁。每个SIEM系统的基本原理是从多个来源聚合相关数据，识别异常并采取适当行动。例如，当检测到潜在问题时，SIEM系统可能会记录额外信息、生成警报并指示其他安全控制措施停止活动进展。SIEM系统可以从用户设备、服务器、网络设备、防火墙、防病毒程序和其他安全相关软件收集数据。
最初，支付卡行业数据安全标准合规性推动了大型企业采用SIEM，但对高级持久威胁的担忧使较小组织也开始考虑SIEM工具的好处。能够从单一视角查看所有安全相关数据，使各种规模的组织更容易发现异常模式。
SIEM的工作原理
在最基本的层面上，SIEM系统可以是基于规则的，或使用统计关联引擎来连接事件日志条目。其操作可分为三个主要步骤：日志管理、事件关联和分析，以及事件监控和安全警报。
1. 日志管理
SIEM工具收集公司基础设施中创建的事件和日志数据。它们通过以分层方式部署多个收集代理来工作，从主机系统（包括终端用户设备、服务器、网络设备、云服务和专用安全设备，如防火墙、防病毒程序或入侵预防系统）收集安全相关事件。这些收集器的目标是将所有这些数据汇集到集中式平台上。
2. 事件关联和分析
收集器然后将事件转发到集中管理控制台，规范化不同的数据类型。算法、预定义规则和机器学习（ML）过程的集合筛选数据，以识别可能是安全事件的模式和行为。
在某些系统中，预处理可以在边缘收集器进行，只有某些事件被传递到集中管理节点。通过这种方式，可以减少通信和存储的信息量。尽管ML的进步帮助系统更准确地标记异常，但分析师仍需提供反馈，不断教育系统了解环境。
高级SIEM系统已发展到包括用户和实体行为分析，以及安全编排、自动化和响应（SOAR）功能。它们共同工作以有效响应安全事件。
3. 事件监控和安全警报
SIEM工具识别收集到的数据并将其分类，如成功和失败的登录、恶意软件活动和其他可能的恶意活动。
当SIEM软件识别出潜在安全问题时，会生成安全警报。使用一组预定义规则，组织可以将这些警报设置为低优先级或高优先级。
例如，一个在25分钟内生成25次失败登录尝试的用户账户可能被标记为可疑，但仍设置为较低优先级，因为登录尝试可能是由忘记登录信息的用户进行的。然而，一个在五分钟内生成130次失败登录尝试的用户账户将被标记为高优先级事件，因为它很可能是一次正在进行中的暴力攻击。
为什么SIEM重要？
SIEM帮助组织改善其安全状况，因为它有助于实时检测和响应安全威胁。它还在以下活动中提供协助：
- 安全管理：SIEM通过过滤大量安全数据并优先处理软件生成的安全警报，使企业更容易管理安全。
- 威胁检测：SIEM软件使组织能够检测否则可能未被发现的事件。它分析日志条目以识别恶意活动的迹象。
- 攻击时间线：由于系统从网络中的不同来源收集事件，它可以重建攻击的时间线，使组织能够确定其性质和对业务的影响。
- 法规合规和报告：SIEM系统还可以通过检测组织基础设施中的安全合规失败，并自动生成包括来自这些来源的所有记录安全事件的报告，帮助组织满足合规要求和监管标准。没有SIEM软件，公司将不得不手动收集日志数据并编译报告。
- 事件管理：SIEM系统还通过帮助公司的安全团队发现攻击在网络中的路径，识别受感染的来源，并提供自动化工具来防止进行中的攻击，增强事件管理。
使用SIEM的好处
SIEM提供以下好处：
- 最小化威胁损害：SIEM显著缩短识别威胁的时间，最小化这些威胁的损害。
- 增加安全可见性：SIEM提供组织信息安全环境的整体视图，使收集和分析安全信息以保持系统安全更容易。组织的所有数据都进入集中存储库，在那里存储并易于访问。
- 提供灵活的使用案例：公司可以将SIEM用于涉及数据或日志的各种使用案例，包括安全程序、审计和合规报告、帮助台和网络故障排除。
- 增强可扩展性：SIEM支持大量数据，使组织能够继续扩展并添加更多数据。
- 生成警报：SIEM提供威胁检测和安全警报。
- 执行深入分析：它可以在发生重大安全漏洞时执行详细的取证分析。
- 提供AI和ML功能：AI和ML功能使SIEM系统能够自动分析数据并从网络行为中学习。
SIEM的挑战和限制
尽管有好处，SIEM也有以下限制：
- 部署时间长：实施SIEM可能需要很长时间，因为它需要支持以确保与组织的安全控制及其基础设施中的许多主机成功集成。通常需要90天或更长时间安装SIEM才能开始工作。
- 昂贵：SIEM的初始投资可能高达数十万美元。相关成本可能累积，包括管理和监控SIEM实施的人员成本、年度支持以及收集数据的软件或代理成本。
- 需要专业知识：分析、配置和集成报告需要专家的才能。这就是为什么一些SIEM系统直接在安全运营中心管理，这是一个由信息安全团队组成的集中单位，处理组织的安全问题。
- 生成大量警报：SIEM工具通常依赖规则来分析所有记录的数据。问题是公司的网络可能每天生成数千个警报。由于不相关日志的数量，很难识别潜在攻击。
- 配置错误：配置错误的SIEM工具可能会错过重要的安全事件，使信息风险管理效果降低。
实施SIEM的最佳实践
组织在实施SIEM时应遵循以下最佳实践：
- 设定可理解的目标：应根据安全目标、合规要求和组织的潜在威胁景观选择和实施SIEM工具。
- 识别合规要求：确定必须满足的监管标准。这有助于确保所选SIEM软件配置为审计和报告正确的合规标准。
- 列出数字资产：列出IT基础设施中所有数字存储的数据有助于管理日志数据和监控网络活动。
- 应用数据关联规则：应在所有系统、网络和云部署中实施数据关联规则。这应减少噪音并使查找有错误的数据更容易。
- 记录事件响应计划和工作流程：记录团队将如何响应特定问题。这有助于确保团队能够快速响应安全事件。
- 分配SIEM管理员：SIEM管理员确保SIEM实施的适当维护。他们应监督一般操作、维护、优化和警报管理等领域。
- 自动化：使用AI和ML功能改进和自动化数据分析、威胁检测和响应行动。
如何选择SIEM工具
选择正确SIEM工具的关键取决于几个因素，包括组织的预算和安全状况。要选择正确的工具，公司应根据以下因素评估每个选项：
- 与现有架构的集成：验证SIEM工具是否与组织的现有系统正确集成。
- 成本：SIEM工具的成本和实施成本可能差异很大。基于云的工具可能更便宜，而更面向企业的软件将更昂贵许可和集成。
- 本地、混合或基于云：确定工具是否支持与组织需求一致的部署模型。
- 供应商支持：组织还应考虑SIEM供应商可以提供的支持水平，包括技术支持、培训和社区资源。
用户还应就SIEM产品功能提出以下问题：
- 与其他控制的集成：系统能否向其他企业安全控制发出命令以防止或停止进行中的攻击？
- AI：系统能否通过ML和深度学习提高自身准确性？
- 威胁情报馈送：系统能否支持组织选择的威胁情报馈送，还是强制使用特定馈送？
- 广泛的合规报告：系统是否包括常见合规需求的内置报告，并使组织能够自定义或创建新的合规报告？
- 取证能力：系统能否通过记录感兴趣数据包的标头和内容来捕获有关安全事件的额外信息？
SIEM特性和功能
评估SIEM产品时要考虑的重要特性包括：
- 数据聚合：从应用程序、网络、服务器和数据库收集和监控数据。
- 关联：通常是SIEM工具中安全事件管理（SEM）的一部分，关联指的是工具在不同事件之间找到相似属性。
- 仪表板：从应用程序、数据库、网络和服务器收集和聚合数据，并以图表显示，以帮助找到模式并避免错过关键事件。
- 警报：如果检测到安全事件，SIEM工具可以通知用户。
- 自动化：一些SIEM软件可能包括自动安全事件分析和自动事件响应。
- 合规报告：SIEM工具可以生成报告，帮助组织确保遵守监管框架。
- 事件响应和取证：SIEM工具可以捕获事件时间线，这有助于跟踪和响应安全事件。
- 数据库和服务器访问监控：SIEM工具可以识别对数据库和服务器的未经授权访问或其他异常。
- 内部和外部威胁检测：SIEM工具可以检测内部和外部威胁。
- 实时监控：SIEM软件可以提供跨各种应用程序和系统的实时威胁监控、关联和分析。
- 用户活动监控：SIEM软件可以监控用户行为以检测异常行动或合规失败。
SIEM工具和软件
市场上有各种SIEM工具，包括以下：
- Datadog Cloud SIEM：来自Datadog Security的Datadog Cloud SIEM是一个云原生网络和管理系统。该工具具有实时安全监控和日志管理功能。
- Exabeam：Exabeam Inc.的SIEM产品组合提供数据湖、高级分析和威胁猎人。
- IBM QRadar：IBM QRadar SIEM平台为IT基础设施提供安全监控。它具有日志数据收集、威胁检测和事件关联功能。
- LogRhythm：LogRhythm是一个面向较小组织的SIEM系统。它统一了日志管理、网络监控和端点监控，以及取证和安全分析。
- ManageEngine Log360：Log360 SIEM工具提供威胁情报、事件管理和SOAR功能。日志收集、分析、关联、警报和归档功能实时可用。
- NetWitness：来自PartnerOne的NetWitness平台是一个威胁检测和响应工具，包括数据采集、转发、存储和分析。
- SolarWinds Security Event Manager：SolarWinds SIEM工具自动检测威胁、监控安全策略并保护网络。它提供完整性监控、合规报告和集中日志收集等功能。
- Splunk：Splunk本地SIEM系统提供持续安全监控、高级威胁检测、事件调查和事件响应。
SIEM的历史
SIEM技术自2000年代中期存在，最初从日志管理演变而来，日志管理是用于管理信息系统中创建的大量日志数据的生成、传输、分析、存储、归档和处置的集体过程和策略。
Gartner分析师在2005年Gartner报告“通过漏洞管理改善IT安全”中创造了术语SIEM。在报告中，分析师提出了基于安全信息管理（SIM）和安全事件管理（SEM）的新安全信息系统。
基于传统日志收集管理系统，SIM引入了对日志数据的长期存储分析和报告。它还将日志与威胁情报集成。SEM处理软件、系统或IT基础设施中安全相关事件的识别、收集、监控和报告。
供应商通过将SEM（实时分析日志和事件数据并提供威胁监控、事件关联和事件响应）与SIM（收集、分析和报告日志数据）结合创建了SIEM。
SIEM现在是一个更全面和先进的工具。引入了新功能以减少组织中的风险，如SOAR和使用ML和AI帮助系统准确标记异常。
SIEM的未来
未来SIEM趋势可能包括：
- 改进的编排：目前，SIEM只为公司提供基本的工作流程自动化。然而，随着这些组织继续增长，SIEM必须提供额外能力。例如，借助AI和机器学习，SIEM工具必须提供更快的编排，为公司内的不同部门提供相同水平的保护。此外，安全协议和执行这些协议将更快、更有效和更高效。
- 与托管检测和响应（MDR）工具更好的协作：随着黑客攻击和未经授权访问的威胁继续增加，组织实施两层方法来检测和分析安全威胁很重要。公司的IT团队可以在内部实施SIEM，而托管服务提供商可以实施MDR工具。
- 增强的云管理和监控：SIEM供应商将改进其工具的云管理和监控能力，以更好地满足使用云的组织的安全需求。
- SIEM和SOAR将演变为一个工具：寻找传统SIEM产品承担SOAR的好处；然而，SOAR供应商可能会通过扩展其产品能力来响应。
根据Forbes的预测，SIEM的未来可能涉及以下五种可能结果：
- SIEM的使用基于定价模型将变得常见。
- 分析工具将建立在通用SIEM数据平台上。
- 组织将合作提供更多集成。
- SIEM的成本将下降，使其对较小的安全团队更负担得起。
- 初创公司将解决管理安全的更多多方面挑战。
了解AI驱动的威胁检测如何使用机器学习管理网络安全。