Security Information & Event Management (SIEM)

How Do SIEM Tools Work?

SIEM工具通过利用三个核心功能来提供当今混合云和多云环境所需的安全监控和可见性:

1. Data collection: Collect 和 analyze data from across your entire network.
2. Threat 检测: Identify suspicious 和/or malicious behavior.
3. Threat 响应: 提供警报, 可见性, 并为响应团队提供可操作的数据，以便他们能够在问题变得严重之前解决问题.

If 合规 reporting is an important driver, SIEM还应该能够协助仪表板，并确保安全策略得到执行. Whatever the specific regulation, 您不仅需要保护客户和敏感数据, 但也要通过跟踪和监控对网络资源和关键系统的所有访问，主动向关键利益相关者和审核员展示您的方法.

What is a SIEM tool used for? 

SIEM工具用于提供对云服务和基础设施的更好的可见性，以及集中日志数据, threat detection，响应. With greater 可见性 - as well as modern extended detection 和响应 (XDR) capabilities - most SIEM tools should enable: 

• 搜索 和 visualization of security data
• 检测受损用户和横向移动
• Identification of evolving attacker behavior 
• Monitoring of a remote workforce
• 20x faster investigations 和 incident response
• 自动遏制受损用户和资产
• Solving multiple 合规 regulations 
• Streamlined case management

There are many use cases for a SIEM tool, 然而，它需要评估和研究，以确定适合您的具体需求的解决方案 security operations center (SOC).

The Benefits of a SIEM

When deployed properly, SIEM为组织提供了可视性，他们需要在整个网络中测量降低风险，以检测已知和未知的威胁. SIEM解决方案已经存在了近二十年, 而今天的现代siem已经不太像它们最初的样子了, 日志管理 counterparts.

随着安全形势的发展，siem也在发展(至少其中一些已经发展)。. 当今最有效的自动化解决方案包括:

• Fewer false positives
• Accurate malware detection
• Comprehensive analysis of all infrastructure
• Ability to learn new threats
• Endpoint detection

What to Look for in a SIEM Solution

Time 和 accuracy matter here. With a SIEM tool, your company may see billions of events each day, 和 that's a lot of information to sift through. 您需要一个SIEM解决方案，该解决方案可以验证需要跟踪的内容, just as important, what's harmless behavior. The more adaptive your solutions can be, 你就越有可能避免公关噩梦或财务危机. 

Here's a short checklist of what to look for in a SIEM solution:

• User Behavior analytics (UBA)
• Attacker Behavior Analytics (ABA)
• Deception technology (i.e. intruder traps)
• File Integrity Monitoring (FIM)
• Incident response
• Endpoint detection
• Performance metrics
• Visualization 和 reporting

Setting up a SIEM tool

即使是最先进的安全从业者，设置SIEM工具也可能是一项复杂的任务. 但是，如果操作正确，它可以消除整个网络中的盲点. 第一步包括了解现有的网络和安全堆栈，并弄清楚如何从这些点收集日志信息.

如果供应商没有提供软件即服务(SaaS)存储选项，您还需要考虑对硬件进行规划. 最后, 正在进行的步骤是编写规则以检测感兴趣的事件，并创建报告以突出显示总体网络风险的关键指标. 

Managing logs in a SIEM

使用SIEM工具有效地管理日志对于网络可见性至关重要, 合规, 和可靠的 incident detection 和响应. 作为安全从业人员，您需要能够对数据提出问题(通常使用结构化查询语言或SQL)以进行识别 Indicators of Compromise (IoCs)，找到受影响的用户和系统，并与补救团队共享最终范围.

管理日志通常涉及索引数据并将其与其他数据集关联起来. 最终目标是为您提供一种简单的方法，从一个统一的仪表板搜索威胁.

Alerts 和 reporting with your SIEM tool

在一般设置之后，配置警报和报告是高效使用SIEM的关键. As a security practitioner, 您需要不断改进SIEM，以便为您提供网络上发生的重要安全事件.

SIEM工具的一个常见问题是，它们会产生太多未按优先级排序的警报, 超过了安全团队可以花时间去调查的范围. 这就是为什么不断调整新的和现有的规则以有效地发现相关的威胁行为是很重要的.

It's a lot to remember, 和 a lot to take in. 但是感到不知所措并不能阻止你采取行动. Attacks come in all shapes 和 sizes, 了解它们的全部范围不仅仅是“拥有它们很好”.“当你有效地使用事件和检测响应时, 通过更好地了解哪些政策有效，哪些政策可能需要改进，你的公司开始走上一条精简更多任务的道路.

Keep Reading About SIEM

Learn About Rapid7's SIEM & XDR产品

SIEM 新闻 from the Rapid7 博客

播客第二季第一集:SIEM部署在10分钟内