避坑指南:优秀安全专家谈SIEM如何选型
SIEM(安全信息和事件管理)堪称企业安全运营的发动机,它不但从IT基础架构中的海量信息资源中收集和分析各种活动,同时也是安全自动化、DevSecOps、下一代SOC等安全管理和运营的基础。
SANS 2019年的报告(下图)显示,超过70%的大型企业仍然依赖安全信息和事件管理(SIEM)系统来进行数据关联、安全分析和运营。此外,很多企业的安全运营中心(SOC)团队还围绕SIEM配备了用于威胁检测/响应、调查/查询、威胁情报分析以及流程自动化/编排的其他工具。
没有人怀疑SIEM的重要性,但是由于SIEM本身也存在诸多疑难问题(例如与大量安全工具的可扩展和集成性、需要大量人员培训和经验、消耗大量运营资源、误报过多、对新威胁力的响应不从心、供应商产品之间差异过大等)。因此,企业选择SIEM需要格外谨慎,不仅仅是因为该产品是企业安全运营的基石,SIEM需要考量的因素众多(尤其是考虑到当前很多企业安全架构正在面临重大升级或者DevSecOps范型转移),同时还有很强的锁定效应。
近日,国外多位网络安全专家就SIEM的选型发表了观点,安全牛整理如下:
Elastic Security高级总监 Jae Lee
SIEM是很成熟的产品类别,并且还在不断发展中。但是,随着SecOps从“传统”转变为“自适应”,SIEM产品需要支持团队的“进化”。
首先,从人的角度来看:传统安全技能是基于工具的(例如,漏洞、防火墙、IDS/IPS等),但是未来的安全运营需要更广泛的技能,例如处理和分析数据、进行协作研究、了解对手/厂商等,一个好的SIEM方案应当能帮助安全团队增强和发展这些技能。
其次是流程。提升技能、不再被告警“统治”(除非允许),预定义的静态SOP /预案对于新一代的SIEM来说是不够的。团队现在需要进行实时分析以进行搜寻,包括进行研究、逆向工程和模拟威胁等等。上下文(context)决定一切。有效地进行搜寻和操作需要完全的可见性——不是在单独的工具中,而是在SIEM中。
最后是技术。全面的安全可见性不仅指广泛的覆盖范围,也包括快速的见解。同样,检测需要支持OOTB。例如端点安全中,OOTB检测具有很高的准确性。SIEM中应该应用相同的规则,而不要求每个分析师都是规则编写专家。SIEM不仅是“技术”,还需要经过现实世界验证过的安全性内容。
随着SecOps的成熟,企业通常需要大量投资来维护SIEM。安全主管必须有效阻止威胁来证明安全投资的合理性。你需要树立目标,例如通过部署SIEM满足快速发展的安全需求,并就扩展性和灵活性向供应商提出一些尖刻的问题——从检测到集成,部署选项到定价指标。
Christopher Meenan,IBM Cloud和认知软件QRadar产品管理和策略总监
选择SIEM解决方案首先要考虑的是您需要解决的是哪种用例,例如是在云转换期间保护企业?还是构建统一的IT和OT安全运营程序?还是仅解决合规性问题?SIEM的用例是千差万别的。不同用例的集成、用例内容、分析和部署方法的需求也有很大差异。
可以咨询供应商帮助解决需求问题。了解包括哪些集成和用例内容,以及哪些需要单独的许可证或自定义开发。了解可用的分析以及如何使用这些分析来检测已知和未知威胁。询问本机支持哪些框架,例如MITER ATT&CK。
如果像大多数公司一样,您的团队人手不足,这意味着您需要可用性更高的产品,这些产品可以帮助缩短新分析师的学习曲线,并使经验丰富的团队成员更有效率。询问每种解决方案如何在检测、调查和响应过程中如何提高效率。如果需要降低管理成本,同时还需要询问有关SaaS部署和MSSP合作伙伴关系的信息。
最重要的是,不要害羞,要求厂商提供概念验证以确保您正在考虑的产品对您有用。
Exabeam首席安全策略师 Stephen Moore
即使是经验和资源最丰富的安全团队也很容易被一天之内收到的SIEM警报数量所淹没,让SOC安全人员头大的问题还有很多,例如基于凭据攻击的复杂性、警报疲劳、缺乏熟练的分析师和漫长的调查时间等。很多都是传统SIEM方案无法解决的。
现在,许多组织正在将其SIEM迁移到云中,这使分析师可以利用更多的计算能力来筛选、解释和运营SIEM数据。现在,他们将更多的时间花在了发现不利因素上,而不是平台和服务器支持上。但是要为“企业”选择合适的SIEM,您需要花时间调查咨询。您需要确保SIEM的功能与业务的目标、关注和期望保持一致,显然,很多企业的目标和期望在最近几个月中已经发生了重大变化。最重要的是,企业需要花一些时间来提问。
然后,基于已知的攻击者行为和违规结果做出选择,重点关注凭据相关信息,确保您的平台具有适应性和以对象为中心。询问厂商这样的问题,例如产品是否会缩短您回答问题的时间(TTA),例如“与该警报关联的帐户或资产是什么?” 或者“事件之前,之中和之后发生了什么?”
最后,任何解决方案都需要帮助您的SOC分析人员专注于正确的事情。自动化的关键是“自动化”——既以时间表或故事板的形式完整展示事件的情节,又可以在恢复过程中提供自动化的事件响应功能。部分调查流程的自动化对于事件响应人员来说意义重大,可以更快地采取行动,最大程度地降低响应不完全的风险。
Rapid7首席安全研究员 Wade Woolwine
尽管SIEM这个缩写的第一个词是“安全”,但事件和日志管理不仅仅针对安全团队。
当企业打算投资SIEM或替换现有SIEM时,他们应考虑跨安全性、IT/云、工程、物理安全性以及任何其他可能从集中式日志聚合中受益的业务部门的用例。一旦确定了利益相关者,明确了记录日志的类型、来源和用例,企业才能制定出评估SIEM供应商的需求主清单。
企业还应该认识到用例将随着时间而变化,不断会有新的用例“冲击”SIEM,尤其是在安全团队内部。因此,企业还应将以下内容视为支持未来增长的SIEM的硬性要求:
- 支持安全团队添加和分类自定义事件源
- 支持基于云的事件源
- 具有高级跨数据类型搜索功能和支持正则表达式的字段搜索
- 可保存的警报搜索
- 使用动态仪表板报告保存搜索
- 整合威胁源的能力
- 支持自动化平台集成
- API支持
- 报价包括多日培训
LogPoint首席执行官 Jesper Zerlang
随着企业基础架构复杂性的增加,现代SIEM解决方案的关键能力是能够从任何地方捕获数据。这包括云中和本地数据以及来自软件(包括SAP等企业应用程序)的数据。在当今复杂的威胁形势下,集成UEBA并帮助企业快速增强安全性分析是SIEM的大势所趋。
SIEM解决方案的效率完全取决于您输入的数据。如果SIEM解决方案的许可证模型依赖于摄取的数据量或事务数量,那么由于数据量的整体增长,成本将不断增加。因此,有些企业会选择让缩小SIEM的覆盖范围,忽略部分基础架构以降低成本,这种做法非常危险。
选择许可模型的SIEM时,需要确保该模型支持企业的完全数字化并且其未来成本可以预测。这将确保业务需求与您的技术选择保持一致。最后一点,但也可能是最重要的一点:选择那些有段时间见效案例的SIEM方案,并且确保能够按时完成部署的SIEM项目。SIEM部署,无论是初次实施还是替代,通常被认为是复杂且耗时的,这方面要保持高度警惕。
低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。
持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
转载内容版权归作者及来源网站所有,本站原创内容转载请注明来源。
- 上一篇
探索边缘计算作为云计算的补充
5G网络和向远程运营的重大转变使边缘计算成为企业数字化转型的新领域。 处于边缘的基础正在促使人们对基础设施、远程工作以及组织如何从所取得的进步中获得最大收益的方式进行重新思考。在上周由网络智能平台Kentik主办的一次网络研讨会中,思科公司和StackPath公司的专家讨论了网络边缘的演进如何揭示物联网、远程工作和云计算的新机遇。Kentik公司首席执行官Avi Freedman主持会议。 由于冠状病毒疫情导致社交远离,许多组织正在进行的远程操作引入了意外的因素,甚至加速了边缘计算的增长周期。 思科公司物联网工程和运营高级总监Matt Price说,“我们现在处于优势,我们已经将过去所有办公室中的所有计算和网络资源移到了边缘。” 他表示,这些举措带来了新的挑战,例如处理来自远程站点的流量被路由回中心位置时的网络拥塞。Price说:“我们看到IT世界很快成为边缘,被迫重新考虑他们如何确保流动劳动力。” 组织如何使用边缘计算的加速可能带来云计算的新可能性。StackPath公司首席技术官Wen Temitim说,“边缘计算是对公共云和企业的私有数据中心的补充,它并不能取代公共云。”Temi...
- 下一篇
小程序拍了拍你:来看看如何避开路由雷区
全文阅读时长6分钟,案例为真实事件改编,小程序名称、人名仅为代号,如有雷同……那我就改。 典型案例 在一个夜黑风高的夜晚,“xx饭很多”百度智能小程序悄然上线,目录结构如下: ├── pages │ └── home │ ├── index.js │ ├── index.json │ ├── index.css │ └── index.swan │ └── eat // 大口吃 │ ├── index.js │ ... │ └── meat // 肉 │ ├── index.js │ ... │ └── drink // 大碗喝 │ ├── index.js │ ... │ └── wine // 酒 │ ├── index.js │ ... │ ... ├── app.json ├── app.css ├── app.js 其中,app.json 的 pages 包含了小程序的所有页面地址: { ... pages: [ "pages/home/index", "pages/eat/index", "pages/meat/index", "pages/drink/index", "p...
相关文章
文章评论
共有0条评论来说两句吧...
文章二维码
点击排行
推荐阅读
最新文章
- CentOS8编译安装MySQL8.0.19
- MySQL8.0.19开启GTID主从同步CentOS8
- SpringBoot2全家桶,快速入门学习开发网站教程
- CentOS8,CentOS7,CentOS6编译安装Redis5.0.7
- CentOS7,CentOS8安装Elasticsearch6.8.6
- Red5直播服务器,属于Java语言的直播服务器
- CentOS8安装MyCat,轻松搞定数据库的读写分离、垂直分库、水平分库
- SpringBoot2整合MyBatis,连接MySql数据库做增删改查操作
- CentOS6,CentOS7官方镜像安装Oracle11G
- Jdk安装(Linux,MacOS,Windows),包含三大操作系统的最全安装