在当今数字化时代，数据如同企业的生命线，其安全性对于任何一家收集和存储数据的公司都至关重要。数据安全不仅关乎企业的声誉，更可能直接决定其长远发展和成败。为了应对日益增长的网络安全威胁，安全信息与事件管理（SIEM）系统应运而生。SIEM系统能够帮助企业建立一道坚固的安全防线，实时监控、快速检测并有效响应安全威胁。
什么是 SIEM？
SIEM，发音为“sim”，即安全信息与事件管理的英文缩写。
安全信息管理（SIM）侧重于数据的收集、监控和记录，以便及时发现并报告系统中的可疑活动。SIM软件或工具能够自动收集和处理这些信息，从而助力早期预警和安全监控。而安全事件管理（SEM）则专注于实时识别和监控系统中的安全事件，深入分析潜在威胁，并迅速采取应对措施。
尽管SIM和SEM在目标上具有相似之处，但它们之间也存在显著差异。SIM侧重于对历史日志的分析和报告，而SEM则侧重于对实时活动日志的收集和分析。SIEM系统有效地融合了SIM和SEM的功能，为企业提供了一个全方位的安全解决方案。它可以帮助企业在安全问题和威胁对系统造成实质性损害之前，及时监控和识别它们。SIEM工具能够自动化执行日志收集、标准化、通知、警报以及事件和威胁检测等流程。
为什么 SIEM 很重要？
随着越来越多的企业和组织采用云服务，网络攻击的频率和复杂性也显著增加。无论企业规模大小，网络安全都至关重要，必须采取相应的措施加以保护。确保系统安全，并具备应对潜在安全漏洞的能力，是企业长期成功的基石。数据泄露不仅会导致用户隐私泄露，还可能使他们遭受进一步攻击。安全信息与管理系统通过记录系统内的事件、分析日志以检测异常情况，并确保在威胁造成损害之前及时处理，从而帮助企业保护其数据和系统。
此外，SIEM系统还可以帮助企业保持对法规的遵守，确保其系统始终符合相关标准。
SIEM 的主要特点
在选择适合组织的SIEM工具时，必须考虑其所具备的关键功能，以确保能够全面监控并有效检测安全威胁。以下是选择SIEM系统时需要关注的一些关键特点：
1. 实时数据收集和日志管理
日志是保障系统安全的重要基石。SIEM工具依靠这些日志来检测和监控任何可疑活动。至关重要的是，所部署的SIEM工具必须能够从内部和外部来源收集尽可能多的关键数据。事件日志来自系统的不同部分，因此，该工具需要能够有效地管理和分析这些多样化的数据。
2. 用户和实体行为分析 (UEBA)
分析用户行为是检测安全威胁的有效方法。通过结合SIEM系统和机器学习，可以根据用户在会话期间尝试的可疑活动级别为其提供风险评分，从而有效地检测用户活动中的异常情况。UEBA可以检测包括内部攻击、账户泄露、权限滥用和策略违反等多种威胁。
3. 事件管理和威胁情报
任何超出正常活动范围的事件都可能被视为对系统安全的潜在威胁，如果处理不当，可能会导致实际的数据泄露或攻击。SIEM工具应具备识别安全威胁和事件的能力，并采取相应措施确保事件得到妥善处理，避免系统遭受破坏。威胁情报利用人工智能和机器学习技术来检测异常情况，并判断其是否对系统构成威胁。
4. 实时通知和警报
实时通知和警报是选择任何SIEM工具时都应考虑的关键要素。确保SIEM工具能够在检测到攻击或威胁时触发实时通知，对于安全分析师的快速响应至关重要，有助于缩短平均检测时间（MTTD）和平均响应时间（MTTR），从而最大程度地减少威胁在系统中持续存在的时间。
5. 合规管理和报告
对于必须严格遵守特定法规和安全机制的组织，应选择能够帮助其满足这些要求的SIEM工具。SIEM工具可以帮助企业收集和分析整个系统的数据，以确保业务符合法规。部分SIEM解决方案能够生成如PCI-DSS、GPDR、FISMA、ISO等合规标准的实时报告，从而更容易检测任何违规行为并及时解决。
接下来，我们将探讨一些最佳的开源SIEM系统。
AlienVault OSSIM
AlienVault OSSIM 是由AT&T管理的历史最悠久的SIEM系统之一。它主要用于数据的收集、标准化和关联。AlienVault OSSIM 的主要功能包括：
| 资产发现 |
| 漏洞评估 |
| 入侵检测 |
| 行为监测 |
| SIEM 事件关联 |
AlienVault OSSIM 确保用户能够实时获取系统中可疑活动的相关信息。它是开源且免费使用的，但也有付费版本USM，它提供了额外的附加功能，如：
| 高级威胁检测 |
| 日志管理 |
| 云和本地基础设施的集中威胁检测和事件响应 |
| PCI DSS、HIPAA、NIST CSF 等合规性报告 |
| 可部署在物理设备或虚拟环境中 |
USM提供三种定价方案：基本计划起价为每月1,075美元；标准计划起价为每月1,695美元；高级计划起价为每月2,595美元。有关定价的更多详情，请查看AT&T定价页面。
Wazuh
Wazuh 主要用于收集、聚合、索引和分析安全数据，帮助组织检测系统中的违规行为和合规性问题。Wazuh SEIM的主要功能包括：
| 安全日志分析 |
| 漏洞检测 |
| 安全配置评估 |
| 监管合规性 |
| 警报和通知 |
| 报告洞察 |
Wazuh是开源入侵检测系统OSSEC与Elasticsearch Logstach和Kibana（ELK堆栈）的组合，后者具有日志分析、文档搜索和SIEM等多种功能。它是OSSEC的轻量级版本，利用能够识别和检测系统内部威胁的技术。Wazuh的应用场景包括安全分析、入侵检测、日志数据分析、文件完整性监控、漏洞检测、配置评估、事件响应以及云安全等。Wazuh是开源且免费使用的。
Sagan
Sagan 是一种实时日志分析和关联引擎，它使用人工智能和机器学习技术，通过全天候监控来保护环境。Sagan由象限信息安全公司开发，专为安全运营中心（SOC）的运营而设计。Sagan与Snort或Suricata规则管理软件兼容。
Sagan的主要特点：
| 数据包分析 |
| 专有的蓝点威胁情报 |
| 恶意软件目标和文件提取 |
| 域名追踪 |
| 指纹识别 |
| 自定义规则和报告 |
| 违规拘留 |
| 云安全 |
| 监管合规性 |
Sagan是开源的，用C语言编写，并且可以免费使用。
Prelude OSS
Prelude OSS 用于收集、规范化、排序、聚合、关联和报告所有与安全相关的事件。Prelude OSS是Prelude SIEM的开源版本。
Prelude有助于持续监控安全和入侵尝试，有效分析警报以做出快速响应，并识别潜在的威胁。Prelude SIEM利用最新的行为分析或机器学习技术进行深度检测，其检测过程主要包括以下阶段：
| 集权 |
| 检测 |
| 名词化 |
| 相关性 |
| 聚合 |
| 通知 |
Prelude OSS可免费用于测试目的。Prelude SIEM的高级版本需要付费，定价方式基于事件量而非固定价格。如需获取报价，请联系Prelude SIEM。
OSSEC
OSSEC 被广泛认为是一款开源主机入侵检测系统（HIDS），它支持多种操作系统，包括Linux、Windows、macOS、Solaris、OpenBSD和FreeBSD。它具有关联和分析引擎、实时警报和主动响应系统，这使其可归类为SIEM工具。OSSEC主要分为两个组件：管理器（负责收集日志数据）和代理（负责处理和分析日志）。
OSSEC的主要特点包括：
| 基于日志的入侵与检测 |
| 恶意软件检测 |
| 合规审核 |
| 系统库存 |
| 积极响应 |
OSSEC和OSSEC+可免费使用，但功能有限；Atomic OSSEC是包含所有功能的高级版本。其定价基于SaaS产品的订阅模式。
Snort
Snort 是一款开源的入侵防御系统。它使用一系列规则来查找与恶意活动匹配的数据包，捕获它们并向用户发出警报。Snort可以安装在Windows和Linux操作系统上。
Snort是一款网络数据包嗅探器，这也是其名称的由来。它会检查网络流量，并检查每个数据包，以发现异常情况和潜在的有害载荷。Snort的功能包括：
| 实时流量监控 |
| 数据包记录 |
| 操作系统指纹识别 |
| 内容匹配 |
Snort提供了三种定价选项：个人版价格为每年29.99美元，商业版价格为每年399美元，集成商版则适用于任何希望将Snort集成到其商业产品中的用户。
Elastic Stack
Elastic（ELK）堆栈 是SIEM系统中最流行的开源工具之一。ELK代表Elasticsearch、Logstach和Kibana，这些工具结合在一起创建了一个日志分析器和管理平台。
它是一个分布式搜索和分析引擎，可以执行快速搜索和强大的分析。Elasticsearch可用于不同的应用场景，如日志监控、基础设施监控、应用程序性能监控、综合监控、SIEM和端点安全。
Elasticsearch的主要特点：
| 安全 |
| 监控 |
| 警报 |
| Elasticsearch SQL |
| 使用ML进行异常检测 |
Elasticsearch提供四种定价模式：
| 标准价格为每月95美元 |
| 黄金价格为每月109美元 |
| 白金卡每月125美元 |
| 企业版每月175美元 |
你可以查看Elastic的定价页面，以了解关于每个计划定价和功能的更多详情。
最后的话
我们已经介绍了一些常用的SIEM工具。值得注意的是，在安全方面，没有一种工具可以解决所有问题。SIEM系统通常是处理各个领域并执行不同功能的工具的集合。因此，组织需要了解其系统，以便选择正确的工具组合来构建其SIEM系统。本文提到的大多数工具都是开源的，因此可以根据具体需求进行定制和配置。
接下来，您可以查看更多关于选择最佳SIEM工具以保护您的组织免受网络攻击的信息。