siem

SIEM

security information and event management

简介

security information and event management

安全信息和事件管理

SIEM可以过滤电子邮件，搜索关键词和发现安全缺口

面对海量安全数据，传统的集中化安全分析平台SIEM遭遇到了诸多瓶颈，主要表现在以下方面：

·高速海量安全数据的采集和存储变得困难

·异构数据的存储和管理变得困难

威胁数据源较小，导致系统判断能力有限

·对历史数据的检测能力很弱

·安全事件的调查效率太低

·安全系统相互独立，无有效手段协同工作

·分析的方法较少

·对于趋势性的东西预测较难，对早期预警的能力比较差

·系统交互能力有限，数据展示效果有待提高

安全信息和事件管理（SIEM）产品及服务负责从大量企业安全控件、主机操作系统、企业应用和企业使用的其他软件收集安全日志数据，并进行分析和报告。有些SIEM还可以试图阻止它们检测到正在进行的攻击，这可能帮助阻止破坏或者限制成功攻击可能造成的损坏。

现在有很多可用的SIEM系统，包括“轻量级”SIEM产品—专门针对负担不起或感觉他们不需要全功能SIEM的企业。对于企业来说，确定要评估哪些产品已经是相当大的挑战，更遑论选择最适合特定企业或部门的产品。SIEM评估过程应包括创建标准清单，以列出企业特别需要考虑的SIEM功能。

应考虑因素

提前确认需要哪些系统日志文件用于监视是非常关键的。有些公司要求大量的以不同方式收集和处理数据的日志。在SIEM系统能够提供报告之前，各种日志都需要标准化，其目的是保持数据的一致性。

公司往往在规模很小的时候就开始记录日志，并随着服务器的增长而简单地复制日志规则，因而，日志文件就是在复制日志，或者在公司合并时，公司能够收集不同物理设备中相似日志文件中的不同数据。此外，在不同时区拥有服务器的公司往往没有对时区实现标准化就收集日志，因而在不同时区同时创建的日志会拥有未同步的时间戳。此时，在信息安全人员跟踪安全事件时，这种情况就成为一种巨大的挑战。

在公司能够充分利用SIEM产品的好处之前，需要配置SIEM系统，其目的是解决时区以及在每类服务器上收集哪些数据、数据如何存放、存放到哪里以及SIEM系统如何分类可能发生的事件等问题，这至关重要。

SIEM系统需要与公司的需要相匹配。例如，假设一家中等规模的公司要首次实施其SIEM，而公司的IT人员仅能在正常的经营时间监视系统。如果公司购买了一种可以全天候生成实时结果和警告的SIEM，却只能在经营时间才去监视这些警告，那么公司就为其无法使用的特性和功能多花了钱。因而，管理层的期望有可能无法匹配实际的结果。

每个SIEM系统都拥有其自己的一套收集日志的需求。一般说来，Syslog系统日志可以发送给代理实现收集。微软的日志是一般是通过安装在本地设备上的代理来收集的，其中的日志是通过WMI或RPC来收集的。当然，还有许多其它类型的日志源，但Syslog系统日志和Windows一般占据了公司环境的大多数。

安全是一个过程而不是一种一劳永逸的战术性操作。为获得在SIEM和其它安全产品及服务上进行投资的重要效果，负责信息安全的主要管理人员首先应当能够确认所有的IT 资产，并且知道每种资产所需要的安全水平是什么。

在选择了一种SIEM产品后，公司不妨仅对最关键的资产先实施日志记录。在日志环境全面配置完成后，就可以启用其它的特性。

通常SIEM的实施会比最初预期的花费更多。在公司低估了准备实施SIEM的时间和努力时（无论是从技术方面还是从人员方面），就会发生这种事情。此外，如果公司在开始时没有一个详细的SIEM方案，就很容易购买超出其实际需要的多余功能。企业调整应用程序，使其处理所有的日志还可能花费比预计的时间更长，从而导致更高昂的预期成本。此外，IT和安全人员还可能需要进行培训，才能管理SIEM应用。

全国各地天气预报查询

上海市

云南省

云南省

云南省

云南省

云南省