安全信息和事件管理（或 SIEM）是计算机安全领域的一个子集，其中应用程序和服务与安全事件管理和安全信息管理相结合。 结合起来，这些学科提供了显着改进的实时统计数据和相关应用程序生成的警报的威胁分析。 这 2021 年互联网安全威胁报告 来自 Sophos 的表示不仅是攻击的数量在增加，而且还包括所使用的方法和入侵媒介的多样性。 这说明此时特别需要添加 SIEM。
什么是SIEM软件？
SIEM 软件为安全专业人员提供了在定义的 IT 环境中系统活动的整体视图。 它已经发展到包含增强的日志管理，结合高级事件分析，以及实时事件数据智能。 这提供了一个扩展的威胁监视网络和事件响应系统，可以收集、分析和可靠地报告所有这些交互。
SIEM 是如何工作的？
SIEM 软件通过组合多个设备和应用程序生成的日志和事件数据来运行。 然后将这些数据整合到一个集中的平台中。 然后，该平台编译这些数据并将其分类为易于分类的类别。 当 SIEM 平台识别出威胁时，它会生成警报并根据预先确定的规则集分配威胁级别。 使用这样的系统可以减少误报并提高调查效率。 通常，在实施此类软件时会考虑两个主要目标。
- 首先是提供有关安全相关事件和事件的准确报告。
- 第二个是提醒首选人员进一步分析该活动是否存在潜在的安全问题。
SIEM 功能
SIEM 软件的功能结合并集成了全面的保护计划。 这意味着将这些分析集中在一个屋檐下可确保安全团队更加高效和有效。 SIEM 软件通过研究恶意用户破坏系统的威胁规则，为攻击者利用的方法提供了一个窗口。 这些程序通常与众所周知的技术和指标相吻合，这些技术和指标允许团队组织和优先考虑他们对众多威胁情报源的反应。
SIEM 的好处
这些只是利用安全信息和事件管理系统的一些好处。 诚然，这不是一个完整的清单，但它确实涵盖了促成其成功的主要影响因素。
- 提高安全团队效率 – SIEM 允许团队响应实际威胁，同时限制或消除误报。
- 减少违规影响 – 如果发生违规，SIEM 平台可以通过快速关注问题、提供积极响应并随后评估以针对未来问题采取预防措施来限制该交互的整体影响。
- 扩展威胁预防 – 完善的规则集主动监控、记录和响应入侵。
- 降低成本 – 随着误报率的降低，员工可以专注于实际问题，减少响应时间，提高反应速度。 更不用说通过防止因破坏、盗版或恶意个人渗透而造成的收入损失而节省的成本。
- 增强报告 – 将来自多个数据点的信息合并到一个中央处理中心可提高安全基础设施的整体效率。
- 最佳日志分析和保留 – 由于 SIEM 基础架构收集、整理传入数据并将其统一为可分类的模式，因此可以快速记录威胁并记录下来，以便安全团队立即采取行动。
- 提高 IT 合规性 – 随着上述改进的出现，公司可以利用这些数据来提供改进的安全记录，显示威胁缓解和隐私增强已到位，以帮助解决多个合规问题。
SIEM 的缺点
- 某些开源 SIEM 解决方案可能无法提供成熟解决方案的所有功能。 缺少的组件可能是足够的日志管理、GUI 可视化工具、软件自动化，甚至缺乏第三方集成。
- 某些 SIEM 软件产品无法适应云环境。 在许多情况下，这可能是一个障碍。
- 功能或能力的减少可能会严重阻碍您的安全团队实施 SIEM 解决方案的努力。
SIEM的典型特征
通常，SIEM 系统包含三个基本特征：
- 日志管理和存储 – 这是对接收到的大部分信息进行分类和存储以供以后评估和参考的地方。
- 事件管理安全 – 此阶段定义事件的类型和范围
- 信息管理安全 – 此功能提供对服务器应用程序和其他网络硬件生成的安全警报的实时分析。
SIEM 的用途
SIEM 软件的四种最常见用途如下。
- 一般安全
- 外部威胁检测
- 合规性（HIPAA、PCI、GDPR）
- 内部访问滥用
开源 SIEM 平台和软件
结论
安全信息和事件管理是当今企业安全基础架构的必要组成部分。 由于大多数公司的内部和外部威胁持续存在，安全人员短缺和缺乏完整的安全平台催生了对综合系统的需求。 SIEM 平台可以缓解大部分（如果不是全部）这些问题。 它允许客户更好地处理涌入的威胁，提供对数据的适当响应，并为大多数信息安全问题提供更好的方法。
