安全信息和事件管理 (SIEM) 是一种安全解决方案，可聚合和分析来自整个 IT 基础设施的数据，以检测威胁、调查突发事件并满足合规性要求。SIEM 系统会从网络、端点、应用和安全工具收集日志和事件，然后将这些信息关联起来，以识别表明存在潜在安全威胁的模式。SIEM 可集中显示您的环境中的状况并自动检测威胁，帮助安全团队更快、更有效地响应突发事件。
SIEM 已成为安全运维中心 (SOC) 的基础组件，安全分析师依靠它来监控攻击面、调查可疑活动并证明符合监管要求。无论您是防御外部攻击者还是检测内部威胁，SIEM 都能提供保护组织所需的全面洞察力和分析能力。
SIEM 的工作原理是持续从整个环境中的各个来源收集安全数据，将其规范化为一致的格式，然后进行分析以识别威胁和安全事件。该系统会从防火墙、入侵检测系统、端点、云服务和应用中提取日志。然后，它应用关联规则来连接可能表明存在攻击的相关事件。当 SIEM 识别出可疑模式或匹配到已知威胁指标时，它会生成提醒，供您的安全团队进行调查。
SIEM 流程涉及多个步骤：
SIEM 平台由多个集成式组件构成，这些组件协同配合，共同收集数据、检测威胁和协调响应。在整个安全监控和突发事件响应流程中，每个组件都发挥着特定的作用。
日志管理是 SIEM 的核心，负责收集、存储和索引来自整个基础设施的大量事件数据。SIEM 将来自操作系统、数据库、网络设备、安全工具和云服务的日志聚合到一个集中式存储库中，以便进行搜索和分析。这个统一的日志存储库提供了调查突发事件、识别攻击模式和满足数据保留合规性要求所需的历史背景信息。
威胁检测功能会实时分析传入的数据流，以便在安全事件发生的第一时间将其识别出来。SIEM 系统采用多管齐下的检测策略，包括：基于签名的规则，用以匹配已知的攻击模式；行为分析技术，可敏锐察觉任何偏离正常活动的异常；机器学习模型，能够识别那些不易察觉的失陷指标。Google Threat Intelligence 推送的数据则进一步深化了这项分析，揭示了攻击者的策略、恶意软件系列的演变以及不断涌现的新威胁。
提醒功能可将检测到的威胁转化为通知，以便安全团队采取行动。SIEM 会根据风险评分标准和组织优先级评估识别出的每个问题，以确定提醒的严重程度和分发路径。Mandiant Digital Threat Monitoring 能够监测外部威胁来源，主动发现针对您组织的潜在威胁，从而极大地拓展您的预警能力。
响应功能可帮助安全团队遏制和修复识别出的威胁。SIEM 平台提供案例管理功能，可引导分析师完成调查和响应工作流，跟踪所采取的行动，并为每个突发事件维护审核跟踪记录。Mandiant 咨询服务可以帮助您制定有效的响应策略手册，以便快速调查、遏制和补救网络突发事件。
自动化和编排功能可减少处理提醒和应对常见威胁所需的人工工作量。安全编排、自动化和响应 (SOAR) 功能可让您定义工作流，在满足特定条件时自动执行多步响应程序。例如，当 SIEM 在某个端点上检测到恶意软件时，自动 playbook 可能会立即隔离该设备，收集取证证据，扫描其他系统以查找类似迹象，并创建工单供分析师深入调查。
借助威胁搜寻功能，安全分析师可以主动搜寻那些逃过自动检测的威胁。SIEM 提供查询接口和可视化工具，让搜寻者能够探索您的环境、测试有关攻击者行为的假设，并揭露那些潜藏的入侵。Mandiant 威胁检测和搜寻服务利用 SIEM 平台，系统性地搜寻高级威胁。
合规性功能可帮助您满足监管要求和行业安全标准。SIEM 会根据 HIPAA、PCI DSS、GDPR 和 SOX 等合规性要求自动收集和保留日志，为审核人员提供验证安全控制措施所需的证据。预构建的合规性报告会将您的日志数据与具体的监管要求对应起来，显示哪些系统符合要求，并标记需要注意的差距。
要成功实施 SIEM，需要周密的规划和分阶段的方法：
SIEM 能够满足各类组织多样化的安全需求，无论是威胁检测还是合规性管理，都能游刃有余。通过利用 SIEM 功能，安全团队可同时满足急切的安全需求和应对长期的运营挑战。
SIEM 的常见应用场景包括：
Google Security Operations 正是这样一款现代云原生 SIEM，它能大规模检测威胁、开展调查和做出响应。其他示例包括传统的本地 SIEM 平台，以及各种安全供应商提供的新型云端解决方案。
SIEM 解决方案是一种软件平台或服务，可从整个 IT 环境中收集安全数据，对其进行分析以检测威胁，并帮助安全团队调查和应对突发事件。这种解决方案通常包括日志管理、威胁检测、提醒以及合规性报告功能。
SIEM 的三大用途是：通过分析整个环境中的数据来检测安全威胁；提供工具供您了解攻击范围和影响，以便调查突发事件；以及通过收集审核证据和生成监管报告来协助您确保合规。
安全信息和事件管理 (SIEM) 是一个收集和分析安全数据的技术平台，而安全运维中心 (SOC) 是一个由安全专业人员组成的团队，负责监控、检测、调查和应对威胁。SOC 使用 SIEM 作为履行这些职能的主要工具之一。
SIEM 侧重于收集和分析安全数据，以检测威胁并协助调查；而 SOAR 则负责协调和自动执行多个安全工具的响应操作。SOAR 通常与 SIEM 协同工作，自动应对 SIEM 检测到的威胁。
SIEM 能够显著提升您的安全运维水平，让您获得更全面的洞察力、更迅速的威胁检测机制以及更流畅的调查流程。实施 SIEM 的组织通常会发现，突发事件响应时间缩短了，数据泄露风险降低了，安全资源的利用效率也提高了。
增强型威胁检测
SIEM 让您能够实时洞察整个环境的状况，从而显著提高您识别安全威胁的能力。该平台可将来自多个系统的事件关联起来，以检测跨越基础设施不同部分的攻击，这是各自为政的单个安全工具无法做到的。异常检测功能依托机器学习技术，可识别可能表明系统遭到入侵的异常行为，即使攻击者使用的技术与已知的威胁特征不匹配，也能检测到。
更快响应突发事件
SIEM 可加速突发事件响应的每个阶段，从初始检测到最终补救，全程为您保驾护航。快速提醒功能可确保您的团队在几分钟内（而不是几天或几周后）了解安全突发事件，从而缩短攻击者在您的环境中活动的时间。Google Security Operations - 调查可帮助您快速重构攻击时间表并了解突发事件范围，从而做出更有效的遏制和补救决策。
合规管理
SIEM 通过自动收集证据和生成报告，简化了持续的监管合规负担。该系统会维护全面的审核跟踪记录，其中详细记录了谁在何时访问了哪些资源，从而符合大多数合规性框架的问责制要求。自动报告功能可生成审核人员所需的文档，而无需安全人员手动编译日志和活动记录。
集中式安全管理
SIEM 提供单一管理平台，用于监控整个组织的安全状况。您的团队无需登录数十种不同的安全工具和控制台，只需通过 SIEM 的统一界面即可访问所有相关信息，从而显著减少管理开销。身份验证和安全功能可集成到 SIEM，从而跟踪用户在各个系统中的活动和访问模式。
要选择合适的 SIEM，您需要仔细评估不同的解决方案，看看它们如何满足组织特定的安全需求，以及是否适合组织的基础设施和资源。您需要同时考虑技术能力和运营因素，例如部署复杂性、持续维护要求和总拥有成本。最适合您组织的 SIEM 解决方案应在检测有效性、可伸缩性和可用性之间取得良好平衡，同时能与您现有的工具无缝集成。
请使用以下标准来帮助评估 SIEM 解决方案：
SIEM 的未来将由技术进步来塑造，包括自动化程度的提高、安全工具之间更深入的集成，以及依托人工智能的更复杂的分析。我们看到 SIEM 正在从独立平台演变为统一的安全运维平台，将威胁检测、调查和响应与扩展检测和响应 (XDR) 及安全编排无缝结合。机器学习将继续发展。它会超越简单的异常检测，并将提供预测功能，从而在攻击的早期阶段（在造成重大损害之前）识别威胁。随着组织采用更多云服务和分布式架构，云原生 SIEM 解决方案将成为标准，以提供更高的可伸缩性，并内置与云安全控制措施的集成。
无论您是需要完整的托管式 SIEM 服务，还是想要利用特定功能，Google Security Operations 都能提供灵活的选项来满足您的安全运维要求。我们提供全面的 SIEM 功能，可利用云原生的可伸缩性处理海量日志，并利用高级分析功能减少误报，同时与更广泛的 Google Cloud 安全生态系统进行了紧密集成。Google Security Operations 包含内置的数据连接器，可与您现有的安全工具和服务无缝集成，无需进行复杂的自定义集成。
