转载

购买SIEM产品前你需先想清楚这7个问题

在本文中，专家Karen Scarfone介绍了企业评估安全信息和事件管理(SIEM)产品的重要标准。

安全信息和事件管理(SIEM)产品及服务负责从大量企业安全控件、主机操作系统、企业应用和企业使用的其他软件收集安全日志数据，并进行分析和报告。有些SIEM还可以试图阻止它们检测到正在进行的攻击，这可能帮助阻止破坏或者限制成功攻击可能造成的损坏。

现在有很多可用的SEIM系统，包括“轻量级”SIEM产品—专门针对负担不起或感觉他们不需要全功能SIEM的企业。对于企业来说，确定要评估哪些产品已经是相当大的挑战，更遑论选择最适合特定企业或部门的产品。SIEM评估过程应包括创建标准清单，以列出企业特别需要考虑的SIEM功能。

本文中提供了一些标准(也就是问题)以帮助企业进行SIEM评估。由于 “轻量级”产品提供较少的功能，它们更容易评估，所以它们不在本文的讨论范围。这篇文章中探讨的是“常规”SIEM中值得特别关注的方面。

1. SIEM能为相关日志来源提供多少本地支持?

如果SIEM无法接收和理解来自所有企业感兴趣的日志产生源的日志数据，那么，SIEM没有那么多价值。其中最常见的是企业安全控件，例如防火墙、虚拟专用网、入侵防御系统、电子邮件和网络安全网关，以及反恶意软件产品。SIEM应该可以本地了解任何主要产品或这类云服务产生的日志文件。

此外，SIEM应该对企业使用的操作系统品牌和版本产生的日志文件提供本地支持。其中的例外是移动设备操作系统，这通常不提供任何安全日志记录功能。SIEM还应该本地支持企业的主要数据库平台，以及让多个用户与敏感数据交互的任何企业应用。对企业使用的其他软件提供本地SIEM支持也不错，但并不是必要功能。

如果SIEM无法本地支持日志源，那么，企业通常可以开发自定义代码来提供必要的支持，或者使用没有日志来源数据的SIEM。

2. SIEM能否补充现有日志记录功能?

企业使用的特定应用和其他软件可能缺乏强大的日志记录功能。有些SIEM产品和服务可通过代表其他软件执行其自己的监控来补充这些功能。从本质上来说，这扩展了SIEM，让它不只是集中式日志收集、分析和报告解决方案，同时也可代表其他主机产生原始日志数据。

3.SIEM可如何有效地利用威胁情报?

大多数SIEM能够获取威胁情报信息。这些情报信息通常是通过单独订阅各种服务而获取，其中包括世界各地发现的最新威胁活动情报，包括哪些主机正被用于发起攻击，以及这些攻击有什么特性等。在SIEM中使用这些威胁情报的最大价值在于能够更准确地发现攻击，以及做出更明智的决策，通常还可自动确定需要阻止哪些攻击，以及阻止它们的最佳方法。

当然，在供应商之间，威胁情报的质量各不相同。当评估威胁情报有效性时需要考虑的因素包括威胁情报更新的频率，以及威胁情报供应商如何表达对每个威胁恶意性质。

4. SIEM产品可提供哪些取证功能?

传统上来讲，SIEM只收集其他日志源提供的数据。然而，最近有些SIEM产品添加了各种取证功能，可收集它们自己有关可疑活动的数据。常见的例子是SIEM产品能够对恶意活动相关的网络连接进行全数据包捕获。假设这些数据包未加密，SIEM分析师可更密切地审查其内容，以更好地了解这些活动的性质。取证的另一个方面是主机活动日志记录;这种日志记录可在任何时候执行，或者当发现涉及特定主机的可疑活动时触发。

5. SIEM产品提供哪些功能来协助执行数据分析?

用于事件检测和/或处理的SIEM产品应该提供功能来帮助人们审查和评估SIEM自己的日志数据，以及SIEM自己的警报和其他发现。其中一个原因是，即使是高度精确的SIEM偶尔也会误报事件，所以人们需要有一种方法来验证SIEM的结果。另一个原因是调查事件的人们需要可用的界面来方便这些调查。这种界面的例子包括高级搜索功能和数据可视化功能等。