今天，SIEM(安全信息事件管理)系統(tǒng)已經(jīng)成為企業(yè)安全團(tuán)隊(duì)日常處理威脅事件的最優(yōu)先選項(xiàng)之一，不僅可以從IT基礎(chǔ)架構(gòu)中的海量信息資源中收集和分析各種攻擊活動(dòng)，同時(shí)也是組織實(shí)現(xiàn)安全自動(dòng)化、DevSecOps、態(tài)勢(shì)感知等安全管理和運(yùn)營(yíng)技術(shù)的基礎(chǔ)。
然而，隨著以零日攻擊為代表的高級(jí)威脅大量出現(xiàn)后，SIEM行業(yè)的競(jìng)爭(zhēng)格局正在發(fā)生改變。傳統(tǒng)的SIEM系統(tǒng)由于存在難以實(shí)現(xiàn)精準(zhǔn)告警、漏報(bào)較為嚴(yán)重等問(wèn)題，已不是企業(yè)安全運(yùn)營(yíng)管理的理想選擇，安全團(tuán)隊(duì)需要在原有SIEM方案功能的基礎(chǔ)上，融合更多的威脅檢測(cè)/響應(yīng)、調(diào)查/查詢(xún)、威脅情報(bào)分析以及流程自動(dòng)化/編排等先進(jìn)安全能力，在寬度和深度兩個(gè)方面同時(shí)滿(mǎn)足其數(shù)字化業(yè)務(wù)發(fā)展和安全防護(hù)的需要。
為了跟上企業(yè)的應(yīng)用需求，各大安全廠商都積極推進(jìn)下一代SIEM產(chǎn)品的研發(fā)，在不斷吸納新的功能同時(shí)，并積極嘗試通過(guò)云計(jì)算技術(shù)，對(duì)傳統(tǒng)SIEM產(chǎn)品的設(shè)計(jì)架構(gòu)進(jìn)行云化改造。研究人員表示，當(dāng)企業(yè)組織開(kāi)始選型評(píng)估下一代SIEM解決方案時(shí)，應(yīng)該明確并優(yōu)先考慮以下關(guān)鍵能力指標(biāo)，以確保SIEM方案切實(shí)可以滿(mǎn)足數(shù)字化業(yè)務(wù)穩(wěn)定開(kāi)展的需求。
【資料圖】
傳統(tǒng)SIEM通常部署在本地?cái)?shù)據(jù)中心設(shè)備上，本地化部署沒(méi)有考慮過(guò)云計(jì)算環(huán)境。隨著企業(yè)云計(jì)算應(yīng)用的快速發(fā)展，傳統(tǒng)SIEM本地化部署方案難以保護(hù)云端應(yīng)用，也無(wú)法解決安全團(tuán)隊(duì)面臨的云端基礎(chǔ)設(shè)施監(jiān)控的挑戰(zhàn)。
研究機(jī)構(gòu)Gartner認(rèn)為，Cloud SIEM將會(huì)成為下一代SIEM產(chǎn)品發(fā)展的首要形態(tài)，這也意味著SIEM的設(shè)計(jì)架構(gòu)將會(huì)發(fā)生重大變化。云化的好處不僅是順應(yīng)云時(shí)代和遠(yuǎn)程辦公時(shí)代的需要，更重要的是為了降低SIEM自身的部署和維護(hù)的負(fù)擔(dān)，將重點(diǎn)投入到基于SIEM的安全運(yùn)行上。Cloud SIEM對(duì)中小型企業(yè)來(lái)說(shuō)更是非常理想的選擇。
2、提供全面可觀察性傳統(tǒng)的SIEM方案難以在大規(guī)模環(huán)境下整合企業(yè)的所有數(shù)字化應(yīng)用運(yùn)營(yíng)數(shù)據(jù)，因此無(wú)法實(shí)現(xiàn)全面的可觀察性。在數(shù)字化發(fā)展模式下，企業(yè)需要能夠?qū)⒏鞣N數(shù)據(jù)從安全設(shè)備、業(yè)務(wù)應(yīng)用、計(jì)算終端和網(wǎng)絡(luò)系統(tǒng)上完整收集起來(lái)并匯總到下一代SIEM，這樣才能夠獲得數(shù)字化環(huán)境的完整視圖。
此外，下一代SIEM還需要使用經(jīng)過(guò)AI模型訓(xùn)練的機(jī)器學(xué)習(xí)技術(shù)，攝取更廣泛的非固定數(shù)據(jù)源，讓安全分析工具可以及早識(shí)別新型未知攻擊，而不是等待已有的安全規(guī)則被動(dòng)觸發(fā)。經(jīng)過(guò)訓(xùn)練的機(jī)器學(xué)習(xí)檢測(cè)模型可以有效地發(fā)現(xiàn)新的攻擊和傳統(tǒng)攻擊的新變種。
3、支持大數(shù)據(jù)架構(gòu)傳統(tǒng)SIEM的主要痛點(diǎn)之一就是難以對(duì)快速增長(zhǎng)的數(shù)據(jù)信息進(jìn)行有效采集和分析處理，不僅處理效率低下，而且還會(huì)生成大量誤報(bào)。因此，下一代SIEM應(yīng)建立在大數(shù)據(jù)平臺(tái)上，不但能夠快速處理企業(yè)數(shù)字化發(fā)展種產(chǎn)生的海量數(shù)據(jù)，并且可以更加經(jīng)濟(jì)的方式長(zhǎng)期存儲(chǔ)和使用數(shù)據(jù)。對(duì)于安全運(yùn)營(yíng)團(tuán)隊(duì)來(lái)說(shuō)，實(shí)現(xiàn)統(tǒng)一的大數(shù)據(jù)架構(gòu)，可以幫助他們快速獲取所需信息，從而增強(qiáng)搜索與安全相關(guān)的威脅信息并進(jìn)行持續(xù)的監(jiān)控和分析。這種能力輔以第三方威脅情報(bào)源，就可以有效增強(qiáng)對(duì)高級(jí)威脅攻擊的檢測(cè)能力。
4、自動(dòng)化檢測(cè)與分析能力傳統(tǒng)的SIEM方案會(huì)生成大量的安全警報(bào)，這樣很容易讓安全運(yùn)營(yíng)團(tuán)隊(duì)產(chǎn)生“預(yù)警疲勞”。因此，下一代SIEM需要幫助人手不足以及工作負(fù)載過(guò)重的運(yùn)營(yíng)人員，通過(guò)更加細(xì)致的數(shù)據(jù)分析以及自動(dòng)化檢測(cè)能力，將安全預(yù)警與真正需要關(guān)注的安全事件聯(lián)系起來(lái)。
此外，傳統(tǒng)SIEM方案在創(chuàng)建新的檢測(cè)規(guī)則時(shí)，需要大量的人工手動(dòng)操作，這樣低效地創(chuàng)建與分析模式也難以應(yīng)對(duì)快速變化的安全威脅。下一代SIEM需要能夠提供自動(dòng)化的安全分析策略，通過(guò)威脅類(lèi)型和安全場(chǎng)景對(duì)安全分析內(nèi)容進(jìn)行歸類(lèi)，用戶(hù)可以快速地對(duì)其特定安全分析需求進(jìn)行靈活部署，并且通過(guò)自動(dòng)化規(guī)則創(chuàng)建和信息共享，應(yīng)對(duì)快速變化的安全威脅形勢(shì)。
5、威脅優(yōu)先級(jí)分析傳統(tǒng)的SIEM方案通常只是將風(fēng)險(xiǎn)級(jí)別與攻擊階段進(jìn)行關(guān)聯(lián)，為每個(gè)攻擊階段提供基礎(chǔ)的攻陷指標(biāo)分析，這樣就會(huì)造成一些后果嚴(yán)重的安全事件告警被淹沒(méi)，安全運(yùn)營(yíng)人員無(wú)法確認(rèn)其收到的告警是否有價(jià)值，需要在多個(gè)關(guān)聯(lián)平臺(tái)中，多次進(jìn)行手工查詢(xún)與分析。
在下一代SIEM解決方案中，應(yīng)該通過(guò)添加額外的上下文數(shù)據(jù)來(lái)豐富完善告警信息，包括用戶(hù)、資產(chǎn)、IP地址、地理位置、威脅情報(bào)、漏洞掃描結(jié)果等信息。通過(guò)豐富的上下文信息，安全分析人員可以快速了解威脅告警的嚴(yán)重性以及優(yōu)先級(jí)，實(shí)現(xiàn)安全防護(hù)資源的最大化利用。
6、實(shí)時(shí)的威脅事件響應(yīng)傳統(tǒng)的SIEM一直存在“弱檢測(cè)，無(wú)響應(yīng)”問(wèn)題，但檢測(cè)識(shí)別威脅只是開(kāi)始，快速響應(yīng)并應(yīng)對(duì)威脅才至關(guān)重要。下一代SIEM應(yīng)具備自動(dòng)化的威脅事件響應(yīng)能力，能夠創(chuàng)建符合安全行業(yè)最佳實(shí)踐的響應(yīng)流程，與廣泛的第三方產(chǎn)品與工具進(jìn)行緊密集成，采取一系列明確操作進(jìn)行響應(yīng)處置，并給出應(yīng)該采取的行動(dòng)建議。此外，下一代SIEM需要能夠確定各個(gè)響應(yīng)措施的優(yōu)先級(jí)，以便盡量減少業(yè)務(wù)中斷，并為針對(duì)性響應(yīng)提供最優(yōu)化流程。
7、支持法律合規(guī)相比傳統(tǒng)SIEM解決方案，下一代SIEM的一個(gè)重要改進(jìn)就是更好地幫助企業(yè)合規(guī)。這種能力可以通過(guò)支持企業(yè)組織開(kāi)展集中式合規(guī)審計(jì)和風(fēng)險(xiǎn)報(bào)告來(lái)實(shí)現(xiàn)的。下一代SIEM應(yīng)該為各種重要的合規(guī)要求和行業(yè)安全標(biāo)準(zhǔn)提供管理支持和報(bào)告機(jī)制，比如《健康保險(xiǎn)可攜性及責(zé)任性法案》(HIPAA)、《支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)》(PCI DSS)、《薩班斯法案》(SOX)、NIST標(biāo)準(zhǔn)、GDPR和MITRE攻擊框架等各項(xiàng)管理性法規(guī)或制度。
標(biāo)簽：
