SIEM（安全信息与事件管理）是什么？
SIEM（安全信息和事件管理）定义
安全信息和事件管理 (SIEM) 解决方案收集日志和事件，供安全团队分析为可视化、警报、搜索、报告等。这些信息可以帮助安全团队实时检测威胁、管理事件响应、对过去的安全事件进行取证调查，并为合规性准备审计。
为了检测威胁和其他异常情况，SIEM 会在数秒内摄取和分析大量数据，以发现异常行为并发出警报。实时监测来自所有来源的数据（包括网络应用程序、硬件、云等），可以帮助组织在内部和外部威胁面前保持领先。
安全团队通常会将他们的 SIEM 用作中央仪表板，在解决方案中执行日常操作。安全分析师可以使用 SIEM 解决方案来处理高级网络安全用例，例如持续监测、威胁猎捕以及事件调查和响应。
SIEM 如何运作？
为了监测和分析，SIEM系统必须从整个组织中提取数据。许多 SIEM 会在用户设备、服务器、网络设备等上部署代理程序，例如 Elastic Agent。此外，SIEM 通常与云服务提供商集成，以监控云特定的基础架构。
所有这些数据将存储在 Elastic 的Search AI Lake中，以供安全团队进行调查或向政府机构证明合规性。
SIEM 功能和特性
SIEM 解决方案涉及相当多的功能。一些主要功能包括：
- 高级检测：检测有多种形式。恶意软件（如勒索软件或病毒）、凭证变更、内部威胁、数据外泄和异常行为都是 SIEM 应该能够识别的项目。
- Alerting：当 SIEM 进行分析时，它会通过电子邮件、消息或仪表板向安全团队通报紧急问题。
- 持续监测：主动监测环境可以帮助分析师检测可能表明威胁的异常趋势。对整个环境的监测可以包括搜索系统变化、网络流量、运行时间或中断。
- 合规性：合规适用的法规和框架（如 HIPAA 或 GDPR）对于 SIEM 来说非常重要。许多 SIEM 系统还具备报告功能与相关分析能力。不同行业和地区的合规要求各不相同（如医疗行业遵循 HIPAA，欧盟适用 GDPR）。
- 可视化和报告：SIEM 系统将生成可视化，供从业人员审查事件数据和模式，许多系统还将生成可与 SOC 领导和 CISO 共享的报告。
- 事件响应：如果发生安全事件，则需要协调一致的响应，以减轻其影响。
- 日志管理：组织的主机、应用和网络生成的日志数据和事件需要通过集中式日志管理平台进行统一收集、存储与分析。
- 威胁猎捕：即通过查询海量数据来主动发现威胁。
所有这些功能都可以通过人工智能（AI）特性（如Elastic AI Assistant for Security或Elastic Attack Discovery）得到增强。我们正在观察 AI 如何迅速改变防御者和攻击者的网络安全格局。幸运的是，嵌入了 AI 功能的 SIEM 解决方案可以让防御者在这种动态威胁环境中占据优势。
SIEM 的发展历程
SIEM 系统已有 20 多年的历史，从最初的集中式数据库架构演变而来，并经历了重大发展。SIEM 的早期版本起源于信息安全管理（SIM）与事件安全管理（SEM）的结合，但在可扩展性、告警功能和数据关联能力方面都存在较大局限。
读者可以通过我们的博客《追踪历史：SIEM 中的生成式 AI 革命》深入了解 SIEM 的完整历史。
多年来，SIEM 技术在这些原本薄弱的功能上取得了显著进展，同时新增了对归档数据的历史回溯功能，有助于分析师理解潜在威胁的背景。
如今，可视化和集成工作流已成为 SIEM 的核心组成部分，帮助分析师聚焦优先级告警并及时采取应对措施。现代 SIEM 通常具备检测和响应工作流，可帮助安全团队更高效地应对安全事件。
SIEM 如何运作？
SIEM（安全信息与事件管理）平台通过收集来自不同技术系统的日志和事件数据，支持其各项核心功能。它为安全分析师提供了其组织 IT 环境的全面视图。有效的 SIEM 将能够自动修复系统内的已知威胁，同时呈现出更细微的情况，以帮助安全分析师确定是否需要进一步调查和采取措施。
组织的设备、网络、服务器、应用和系统等在日常运营中会生成大量数据。这些数据中蕴含大量上下文信息，有助于保障生态系统的安全。这就是 SIEM 发挥作用的时候了。
为什么 SIEM 如此重要？
对于许多安全团队来说，SIEM 是其安全运营中心（SOC）的核心要素。作为一个集中控制平台，SIEM 可聚合海量数据以便进行分析，为分析人员打造更加统一高效的工作流程。借助 SIEM，安全团队能够发现绕过外围防线、潜藏在企业环境中的威胁，并及时采取应对措施。
SIEM 的优势
借助具备高性能和可扩展性的新一代 SIEM（而许多传统解决方案在这方面存在限制），组织可从中获得如下优势：
- 整体可视性：通过集中平台，团队可在其环境中进行监控、持续分析并采取行动，有助于为安全团队提供单一可靠信息源。
- 统一视图：配置得当的 SIEM 能够规范化不同类型的数据，从而为组织庞大的 IT 环境提供一致且完整的视图。
- 自动威胁检测：安全人员可以自动识别威胁与异常，并快速查询数据、调查相关事件、查看历史趋势与上下文等。
- 风险管理：团队可借助 SIEM 中预构建的机器学习作业进行异常检测，从而识别未知威胁，并深入了解高风险实体。
SIEM 与 SOAR 有何区别？
SIEM 解决方案为安全团队提供可视化、告警和报告功能，提升威胁检测能力；而 SOAR（安全编排、自动化与响应）解决方案则帮助团队标准化并简化对已检测安全事件的响应流程。
因此，SIEM 专注于威胁检测，而 SOAR 更侧重于组织层面的响应协调与自动化处理。在实践中，这两种解决方案的融合越来越紧密。
SIEM 的未来发展方向是什么？
为了真正成为安全人员整合其他技术的“统一可视平台”，SIEM（安全信息与事件管理）需要摆脱其传统封闭的“黑匣子”模式。这意味着安全软件将在开放环境中开发，任何人都能看到哪些功能在保障用户安全，以及哪些代码可进一步优化以应对新兴威胁。
虽然这听起来可能有悖常理（也就是，“为什么网络安全供应商会公开其代码？”），但安全供应商长期以来的立场是将他们的代码与社区隔离，这一做法本身就会让这些安全公司成为黑客攻击的目标。只要对安全软件的攻击有一次没有被检测到，后果可能就是成千上万的客户暴露在漏洞和入侵之下，使无法估量的敏感数据落入恶意攻击者之手。无论攻击者的目标是财务信息、商业机密、可供勒索的材料还是制造外交丑闻，打开一个黑匣子就意味着攻击者可以拿到通往网络安全王国的钥匙。
Elastic 始终坚信开放才是最有效的网络安全之道。我们的内部安全研究团队 Elastic Security Labs 正是这一理念的最佳例证。无论是发布深入研究、揭示最新网络威胁，还是鼓励社区参与检测规则测试，Elastic Security 始终致力于将我们的 SIEM 解决方案打造为业界最佳。我们是如何做到的？与我们的客户、社区及其他各方建立伙伴关系并进行合作。
借助 Elastic Security，全面释放 SIEM 的安全防护能力
Elastic Security 是众多全球领先组织的首选 SIEM 解决方案。通过这个解决方案，安全团队能够对自己生态系统中所有数据建立一个整体视图，最重要的是，能够以现代企业所需速度和规模操作这些数据。
此外，Elastic Security 还与其他多个安全用例实现了无缝集成，包括：
关于 SIEM 的常见问题解答 (FAQ)
什么是 SIEM？
SIEM 是“安全信息与事件管理”的缩写。这些解决方案收集日志和事件供安全团队进行分析。
为什么组织使用 SIEM 解决方案？
组织使用 SIEM 从其系统中收集安全数据。这有助于他们及早发现可疑活动，并迅速做出应对。它还能简化合规流程，提高安全可见性。
SIEM 和 SOC 之间有什么区别？
安全运营中心 (SOC) 是负责监测、分析和调查安全事件的团队。SIEM 是 SOC 使用的技术。
什么是 AI 驱动型 SIEM？
AI 驱动的 SIEM 是指在整个用户体验中集成 AI 能力的 SIEM 解决方案，帮助安全从业人员完成诸如警报摘要、查询转换、自定义数据源接入、工作流建议等任务。AI 驱动的 SIEM 并不能取代对安全分析人员的需求，而是有助于增强相关工作流程，让安全分析人员能够更快、更高效地应对威胁。
SIEM 能否帮助检测勒索软件或内部威胁？
SIEM 本身不会阻止勒索软件或内部威胁，但可以及早发现这些迹象。它会监测可能暗示攻击的异常模式或行为。这样，安全团队就能在事态失控之前得到预警。
SIEM 是防火墙吗？
不是，SIEM 并不是防火墙。防火墙用于控制网络流量，而 SIEM 用于聚合和分析安全数据。
SIEM 与 SOAR 有何区别？
SIEM 专注于威胁检测，而安全编排、自动化和响应 (SOAR) 则专注于组织对这些威胁的更全面响应。
SIEM 和 XDR 之间有什么区别？
扩展检测与响应（XDR）是一种专注于调查和修复终端攻击的解决方案，而 SIEM 则覆盖整个企业范围。许多 SIEM 平台都内置了 XDR 功能，或支持与之集成。许多 SIEM Platform 内置了 XDR 功能或与之集成。