什么是安全信息与事件管理 (SIEM)？| IBM

为什么 SIEM 很重要？

安全信息和事件管理 (SIEM) 方案融合了安全信息管理 (SIM) 和安全事件管理 (SEM)，可提供对事件的实时监控和分析，以及出于合规性或审计目的跟踪和记录安全数据。

简而言之，SIEM 是一种安全解决方案，可帮助组织及早识别潜在的安全威胁和漏洞，以免业务运营遭受破坏。 SIEM 可以发现异常用户行为，并运用人工智能，确保诸多与威胁检测和事件响应相关的手动流程完成自动化运行；这已经成为现代安全运营中心 (SOC) 用于安全性和合规性管理用例的主流技术。

经过多年的发展，SIEM 已经是一项成熟的技术，其作用绝不只是之前的日志管理工具。如今，借助 AI 和机器学习的强大力量，SIEM 可提供高级的用户和实体行为分析 (UEBA) 服务。这是一种非常高效的数据编排系统，用于管理不断演变的威胁以及监管合规性和报告。

了解用户行为分析 (User Behavior Analysis)

SIEM 的工作原理是什么？

从最基本的层面上看，所有 SIEM 解决方案都拥有执行某种程度的数据聚集、整合和排序功能，用以识别威胁并遵守相关的数据合规要求。虽然不同的解决方案在功能方面不尽相同，但大多数都提供相同的核心功能集群：

日志管理

SIEM 在组织整个网络中，从广泛分布的各类来源捕获事件数据。实时收集、存储和分析来自用户、应用程序、资产、云环境和网络的日志和流数据，确保 IT 和安全团队可在一个集中的位置自动管理其网络的事件日志和网络流数据。

一些 SIEM 解决方案还纳入第三方威胁情报订阅源，集成后即可将其内部安全数据与先前识别的威胁特征符和概要文件详细比对。集成纳入实时威胁情报订阅源，可确保团队阻止或检测新型的攻击特征符。

事件关联和分析

事件关联构成任何 SIEM 解决方案的重要组成部分。事件关联利用高级分析来识别和理解复杂的数据模式，以提供洞察分析，快速定位潜在威胁，降低对业务安全性的影响。通过减少用于深入分析安全性事件的手动工作流，SIEM 解决方案可显著改善 IT 安全团队的平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

事件监控和安全警报

SIEM 解决方案支持对本地和基于云的基础架构进行集中管理，因此能够识别 IT 环境的所有实体。这允许 SIEM 技术可监控所有连接的用户、设备和应用程序的安全事件，同时在网络中检测到异常行为时对其进行分类。使用可自定义、预定义的关联规则，管理员可以立即收到警报并采取适当措施来缓解异常行为，以免产生更严重的安全问题。

探索 SIEM 解决方案

合规管理和报告

许多组织需要接受和应对各种不同形式的监管及合规要求；对于这些组织而言，SIEM 解决方案向来是备受欢迎的选择。 SIEM 提供自动数据收集和分析功能，因此，在收集和验证整个业务基础架构中的合规数据方面，SIEM 是一种极具价值的工具。 SIEM 解决方案可以为 PCI-DSS、GDPR、HIPPA、SOX 和其他合规标准生成实时的合规报告，从而减轻安全管理的负担并及早发现潜在的违规行为，以便解决这些问题。许多 SIEM 解决方案都带有预构建的、开箱即用的附加组件，可以自动生成旨在满足合规要求的报告。

了解有关合规性的更多信息

SIEM 的优势

无论您的组织规模如何，采取主动措施来监控和缓解 IT 安全风险都是必不可少的。 SIEM 解决方案拥有多种确保企业可从中受益的方式，并已成为简化安全工作流程的重要组成部分。其中一些优势包括：

高级实时威胁识别
涵盖整个基础架构的 SIEM 主动监控解决方案，能显著缩短识别和应对潜在网络威胁和漏洞所需的时间，有助于在组织扩大规模时增强安全保障态势。

监管类合规审计
SIEM 解决方案支持涵盖整个业务基础架构的集中化合规审计和申报流程。高级自动化简化了系统日志和安全事件的收集和分析，从而降低了内部资源使用率，同时也满足严格的合规申报标准。

AI 驱动的自动化
如今的新一代 SIEM 解决方案集成了强大的安全编排与自动化响应 (SOAR) 功能，确保 IT 团队在管理业务安全时做到节省时间和节约资源。此类解决方案采用了能够自动适应网络行为的深度机器学习功能，在处理复杂的威胁识别和事件响应协议时，所耗费时间比实体团队使用的时间要少得多。

提高组织效率
SIEM 针对 IT 环境提供了更高的可视化水准，使之成为改善跨部门效率的重要驱动力。借助单一、统一的系统数据视图和集成的 SOAR，团队可在响应感知事件和安全事件时展开高效的沟通和协作活动。

若需详细了解安全信息与事件管理的优势，以及该方案是否适合您的业务等，请深入了解 IBM 安全情报专家提供的其他 SIEM 资源。

检测高级和未知威胁
鉴于网络安全环境变化的速度迅疾难测，组织亟需能够检测并响应这些已知及未知安全威胁的解决方案。借助集成的威胁情报订阅源和 AI 技术，SIEM 解决方案可以成功缓解现今安全漏洞带来的威胁，例如：

内部威胁 - 针对有权访问公司网络和数字资产的个人的安全漏洞或攻击。这些攻击可能是由凭证泄露造成的。
钓鱼攻击 - 伪装成受信任实体的社会工程攻击，通常用于窃取用户数据、登录凭证、财务信息或其他敏感业务信息。
SQL 注入 - 通过旨在绕过安全措施并在 SQL 数据库中添加、修改或删除记录的受感染网页或由应用程序执行的恶意代码。
DDoS 攻击 - 一种分布式拒绝服务 (DDoS) 攻击，旨在以无法控制的流量水平轰炸网络和系统，以降低网站和服务器的性能，直至它们无法使用。
数据泄露 - 数据盗窃或逐出通常是通过利用网络资产上常见或易于破解的密码，或通过使用高级持续威胁 (APT) 的手段来实现的。

进行取证调查
SIEM 解决方案非常适合用于在发生安全事件后进行数字取证调查。 SIEM 解决方案确保组织可在同一个地方高效收集和分析来自其所有数字资产的日志数据。这让组织能够重现过去的事件或分析新事件，从而顺利调查可疑活动，并实施更有效的安全流程。

评估和申报合规性
对于许多组织而言，合规审计和申报是既有必要又颇具挑战性的任务。 SIEM 解决方案可在需要时提供监管合规性的实时审计和按需申报，显著降低了管理此流程所需的资源支出。

监控用户和应用程序
随着远程办公、SaaS 应用程序和自携设备 (BYOD) 策略的兴起，组织必须构建较高的可视化管理级别，用以降低传统网络范围之外产生的各种网络风险。 SIEM 解决方案会跟踪所有用户、设备和应用程序的所有网络活动，大幅提高整个基础架构的透明度，而且无论数字资产和服务在何处出现访问活动，SIEM 都能执行威胁检测任务。

SIEM 解决方案中涉及的工具和功能

日志数据管理

收集日志数据是构成安全信息与事件管理的基础。实时数据收集、分析和关联可最大限度提高生产力和效率。

网络可视化

通过检查包捕获，实现网络流的可视化管理，SIEM 分析引擎可针对相关资产、IP 地址和协议获取更多的洞察成果，进而发现网络中移动的恶意文件或揭露针对个人可标识信息 (PII) 的数据渗漏。

威胁情报

必须将专有或开源的情报源整合至企业 SIEM 解决方案中；做到这一点，对于识别和反击现今漏洞威胁和攻击特征符等至关重要。

分析

并非所有 SIEM 解决方案都提供相同级别的数据分析。结合了机器学习和人工智能等新一代技术的解决方案有助于调查这些新出现的、更加复杂精密的攻击。

实时警报

SIEM 解决方案可以根据业务需求进行自定义，在多个团队中使用预定义的分层警报和通知。

仪表板和报告

在某些组织中，每天可能会发生数百甚至数千次网络事件。在自定义视图中理解和报告事件，且消除滞后时间至关重要。

IT 合规性

针对不同组织的监管类合规要求存在着各种显著的差异。虽然并非所有 SIEM 工具都能全方位覆盖合规要求，但在受到严格监管的行业中的组织，需要更加重视审计和按需申报功能，其地位要比其他功能更加优先。

安全性与 IT 集成

组织可视化管理始于将 SIEM 与各种安全性和非安全性日志源有效集成；一个 SIEM 方案通常会与投资于安全性和 IT 工具的现有资产相集成，因此采用此类 SIEM 方案的知名企业和机构亦会从中获益良多。

实施 SIEM 方案的最佳实践操作

在投资新解决方案的前后时段，您都应该遵循以下这些实施 SIEM 方案的最佳实践操作：

首先要充分了解方案的实施范围。明确您的企业将如何从部署中获得最大收益，以及如何设置正确的安全用例。
在所有系统和网络（包括任何云部署）中设计和应用预定义的数据关联规则。
确定所有业务的合规要求，并确保企业 SIEM 解决方案的配置会实时审计和上报这些标准，以便您可更好了解整体风险状态。
对整个组织的 IT 基础架构中的所有数字资产进行编目和分类。在管理有关收集日志数据、检测访问滥用和监控网络等活动时，做到这一点至关重要。
建立自携设备 (BYOD) 策略、IT 配置和限制，以便在集成 SIEM 解决方案时可对其展开监控管理。
定期调整您的 SIEM 配置，确保减少安全警报中的误判。
记录并演习所有事件的响应计划和工作流程，以确保团队能够快速响应任何需要干预的安全事件。
尽可能使用人工智能 (AI) 以及安全编排与自动化响应 (SOAR) 功能实现自动化。
评估投资一家托管安全服务提供商 (MSSP) 的可能性，旨在用于管理企业的各项 SIEM 部署。根据企业的独特需求，MSSP 有可能会更擅长处理企业执行 SIEM 方案所产生的复杂性，并能成功做到定期管理及维护方案连续运行的各项功能。

MSSP 计划的好处

SIEM 的未来

认知能力能够提高系统的决策能力，因此，AI 技术对于 SIEM 的未来将变得越来越重要。它还能确保系统可随着端点数量的增加而适应发展和增长。随着 IoT、云、移动和其他技术不断增加 SIEM 工具必须消化的数据量，AI 技术提供了一种解决方案的潜力；这种解决方案可支持更多的数据类型，并随着威胁态势的发展，能够把控整体局面的复杂程度。

IBM 和 SIEM

安全信息与事件管理方案必须是来自一家能够理解增强企业安全态势重要性的供应商。投资于这样一家值得信任的供应商，获得适合企业的 SIEM 方案，这一点非常重要。

IBM Security QRadar SIEM 是一个全面的安全智能平台，旨在帮助组织直接从一个统一平台管理整体安全运营流程的所有复杂问题。

探索 QRadar 的优势

QRadar 可作为本地、云或 SaaS 解决方案，为当今不断发展演变的企业提供灵活的部署选项，以便在最需要的地方部署安全保障。 QRadar 具有高级分析、AI 驱动的调查、实时威胁检测和全面的 IT 合规管理方面的功能，它具备企业在整个组织中检测、调查、确定优先级和响应威胁所需的所有功能，并能确保业务发展的连续性。