SIEM

SIEM（Security Information and Event Management，安全信息和事件管理）：集中收集、存储、分析来自各种系统的日志和安全事件，用于检测威胁和合规审计。

两个词根：

  • SIM（Security Information Management）：日志的长期存储、检索、合规报告；
  • SEM（Security Event Management）：实时的事件关联和告警。

核心功能：

一、日志集中

从服务器、网络设备、安全设备、应用、云服务收集日志——打破"日志散落在各处"的困境。

二、归一化（Normalization）

不同来源的日志格式千差万别，SIEM 把它们映射到统一的 schema（如"源 IP、目标 IP、用户、动作、结果"），以便跨源关联。

三、关联分析（Correlation）

这是 SIEM 的核心价值：把多个看似无关的事件关联成一个攻击链。

例子：

  • 事件 1：某账号在异地登录失败 20 次；
  • 事件 2：同一账号 10 分钟后登录成功；
  • 事件 3：该账号随后下载了大量文件。

单独看每个事件都不算异常，但组合起来就是一个清晰的入侵故事。

四、告警

基于规则（如"5 分钟内 10 次登录失败"）或异常检测产生告警。

五、取证支持

保留原始日志，供事件调查时回溯。

SOC

SOC（Security Operations Center，安全运营中心）：负责监控、检测和响应安全事件的团队和流程（SIEM 是他们使用的工具之一）。

角色分工：

  • Tier 1（一线分析师）：告警的初步筛选（triage）——判断是真告警还是误报，升级给二线；
  • Tier 2：深入调查，确定影响范围；
  • Tier 3：高级威胁猎捕（Threat Hunting）、应急响应专家。

SOC 可以是：

  • 内部自建（成本高，适合大型组织）；
  • MSSP（托管安全服务商）外包；
  • 混合模式。

相关的技术栈

EDR（Endpoint Detection and Response）：端点上的检测和响应。

SOAR（Security Orchestration, Automation, and Response）：把响应流程自动化——如自动封禁 IP、隔离主机、创建工单。

威胁情报平台（TIP）：整合外部威胁情报（恶意 IP、域名、哈希）。

UEBA（用户与实体行为分析）：用机器学习建立用户和设备的行为基线，检测异常（如某个账号半夜下载大量文件）。

主要挑战

一、告警疲劳（Alert Fatigue）

SIEM 每天可能产生成千上万条告警，绝大多数是误报。

分析师被淹没 → 真正重要的告警被忽略。

这是 SOC 最大的实际问题。

应对：

  • 持续调优检测规则（这是个永远不会结束的工作）；
  • 优先级排序（基于资产重要性、攻击严重性）；
  • 自动化处理低优先级的重复告警；
  • 用威胁猎捕补充被动告警。

二、日志量与成本

SIEM 按数据量计费（或用存储成本计）。全量日志可能非常昂贵。

应对：

  • 分层存储：热数据（近期）在 SIEM 中可查询，冷数据归档到对象存储；
  • 过滤噪音日志（如成功登录日志可能量巨大但价值有限）；
  • 采样（对高频低价值的日志）。

三、检测规则的质量

规则质量比数量重要。很多组织购买了 SIEM，却使用了开箱即用的规则集——产生大量告警但不匹配自身环境。

好的规则需要：理解自身的资产、威胁模型和正常行为基线。

四、人才短缺

安全分析师供不应求，且培养周期长。

一个重要认识

买一个 SIEM 不等于有了安全运营能力。

SIEM 是工具，真正决定效果的是：

  • 是否收集了正确的日志（来源覆盖是否完整）；
  • 是否有高质量的检测规则；
  • 是否有能响应的人；
  • 是否有明确的流程（告警来了之后怎么办）。

很多组织的问题是：投入了大量资金在工具上，却没有配套的团队和流程。

说明：本文为安全运营的知识整理。