什么是SIEM？如何发挥出SIEM的价值？

端点安全

3年前

p9.itc.jpg

　　SIEM一般被认为是一个日志聚合的设备。然而，SIEM的主要能力是提供威胁检测，最好还能够实现事件调查、加速事件响应时间，同时还能有统一、整体的基础设施视角。SIEM只是保护和监控网络和系统的拼图之一；而从Michael Oberlaender看来，这块拼图由十层堆栈组成（OSI七层，加上用户、管理和金钱），在刚开始的时候，会看上去很吓人。

　　在一个略微更加深入的层面，一个SIEM一般会提供以下能力：

　　• 事件与日志收集：从网络中各个来源聚合事件和日志数据，从而更方便监控。

　　• 面板：频繁地从收集到的数据处做出表格，从而更容易地识别环境模式以及非正常活动。

　　• 关联：基于常见属性将事件连接到一起，从而将数据转化为能够关联的有价值组合。

　　• 告警：自动化分析关联事件，提供可持续的验证、趋势与审计。

　　• 取证分析：能够基于特定的标准，在不同的阶段和时间段上搜索全日志。

　　• 合规：：自动化收集应用中的合规数据，基于现有的安全、治理以及审计流程生成相对应的报告。

　　• 留存：长时间存储历史数据，使长时间的数据关联更为容易；同时满足应用合规。

　　• 映射：将计算机化的术语转化为可读的数据，更便于展示，并且能够映射到用户以及厂商定义的分类和方法中。

　　SIEM不应该是一个购入以后就被遗忘的设备。如果企业做的仅仅是购买了SIEM，连上网，然后认为SIEM将所有的安全需求都达成了——那就会陷入许多哦麻烦中。SIEM只是一个为事件响应团队与数字取证团队标准化安全工作流的工具而已——这些团队的成员会使用SIEM来确保网络的安全。

　　这只是使用SIEM的原因之一，其他部署SIEM的原因还包括：

　　• 满足HIPAA、SOX、PII、NERC、COBIT 5、PCI、FISMA等合规要求。

　　• ISO 27000、ISO 27001、ISO 27002和ISO 27003等认证。

　　• 日志管理与留存。

　　• 事件响应与持续监控。

　　• 事例管理以及工单系统。

　　• 策略实施验证以及监测策略违反情况。

　　许多企业过去部署SIEM的主要原因是为了合规。SIEM的功能不仅仅能保护敏感信息，还提供一种能够满足合规要求的手段。企业可以通过SIEM避免审计失败，因为SIEM的存留和报告功能能够验证自身的合规情况是否和法律法规的要求一致。

　　然而，就像之前提到的那样，一个企业不能单纯地部署了SIEM，让员工去监测SIEM的情况，然后就再也不关心系统了。要让一个SIEM有用哪个，尤其是对于事件响应和威胁检测系统有用，其告警以及事件和日志收集流程必须进行调整。如果告警太多，相关团队会错过关键数据，迷失在噪音之中；如果告警太少，那严重的安全事故可能永远也无法被检测到。这一条调整的过程需要在人工侧发生，需要依赖那些十分熟悉网络环境，并且盯着SIEM以及其监测的系统，然后基于业务和网络需求进行更新。这一周期，可以参考Gartner的预测、预防、检测和响应的四阶段模型。

　　简而言之，SIEM遵从GIGO原则（garbage in, garbage out；输入的如果是垃圾，输出的也是垃圾）。SIEM会反应出用户以及用户安全团队对其的输入内容——缺乏对SIEM必要的审阅、观察、调整，SIEM就会停滞，并最终成为一个负担。SIEM解决方案应该由业务驱动，以流程为核心——像ITIL框架这样的就可以协助决定哪些流程或者进程可以被合并、修改、或者完全舍弃。

　　那么从哪里开始？试着用一个服务目录，如果自己没有，就用一些基础的用例，从那里开始，没有必要从零开始。

　　就像SIEM的使用需要持续的适应，这些方式也一样，以下这些内容也会不断改变：

　　• 合规要求

　　• 流程

　　• 进程

　　• 威胁

　　• 脆弱点和CVE

　　• 人员

　　• 客户/用户期望

　　• SLA

　　每个企业应用SIEM的方式不一定会相同，甚至自身的竞争对手或者同类企业的使用方式都会大相径庭——最终还是需要看哪些适合自己的环境和业务。创建一个路线图作为向导可能会有所帮助——从“为什么”或者使用SIEM的目的开始，会更容易识别相关资产以及优先级。

　　在确定了资产和优先级以后，下一步就是定义范围。这事确保SIEM解决方案能适合的关键。SIEM的能力范围在除了支持和保护业务之外，还需要能够助力业务。