次世代 SIEM：定義與最佳實務

安全資訊與事件管理（SIEM）技術正難以管理當前生態系中的威脅。傳統 SIEM 解決方案速度緩慢、可擴充性有限、在雲端環境中效率不佳、需要較長的部署時間，且具有高營運負擔。面對不斷擴大的攻擊面、快速變化的法規、資料爆炸式成長，以及日益增加的預算壓力，這些方案已無法有效應對。因此，焦點正轉向新一代 SIEM 解決方案，這類方案能更快速地擷取資料，並且更敏捷、更具成本效益、更可擴充且更易於部署。

在這篇文章中，我們將定義次世代 SIEM 及其元件與功能，並說明它與傳統 SIEM 的差異。我們也將探討您在實作時可預期面臨的挑戰。最重要的是，我們將提供您一些最佳實務。

什麼是次世代 SIEM？

次世代 SIEM 使用行為分析與自動化來偵測並快速回應異常活動模式、不合規的系統活動、安全問題與異常狀況。它是現代安全營運中心 (SOC) 的核心，讓團隊能夠處理由物聯網、雲端、人工智慧與分析所產生的大量資料。

傳統 SIEM 的能力主要包括統計分析、日誌管理、警示與報告。您通常需要搭配 安全協調、自動化與回應 (SOAR) 技術。次世代 SIEM 建立在這些能力的基礎上，此外還能不受來源限制地擷取資料，並透過進階行為規則、工作流程自動化與人工智慧加以強化。

次世代 SIEM 的關鍵元件

次世代 SIEM 由獨特的元件組成，使其在傳統 SIEM 之上脫穎而出。

1. 進階分析與機器學習

機器學習 (ML) 與分析讓次世代 SIEM 能夠使用行為剖析即時偵測異常行為。它使用 ML 模型為每個事件指派分數，以判定其是否構成威脅。所有超過預先定義門檻的分數都會轉送給分析師進一步調查。

2. 威脅情報整合

次世代 SIEM 內建整合式威脅情報平台，作為其核心功能的一部分。它們會自動查詢安全資料，並執行弱點掃描與滲透測試以偵測可疑活動。次世代 SIEM 會將內部事件與第三方威脅情報來源進行關聯，以更廣泛地理解潛在威脅。

3. 使用者與實體行為分析 (UEBA)

次世代 SIEM 套用 UEBA以分析使用者已學習的行為，並識別不依賴已知簽章或規則的攻擊。UEBA 使用深度學習、強化學習、貝葉斯網路，以及監督式與非監督式學習來學習人類行為模式。例如，當一名行銷部門員工在星期六凌晨 1:00 開始從其在工作時間外很少互動的財務資料庫下載檔案時，系統會將此標記為可疑，可能表示內部威脅或認證遭入侵。

4. 自動化與協調

次世代 SIEM 使用劇本來自動化回應，並針對每個可疑安全事件執行一系列預先定義的緩解與遏制動作。一般而言，次世代 SIEM 可透過隔離受影響系統、套用修補程式及觸發警示，自動回應已偵測到的威脅。

5. 可擴充性與雲端支援

次世代 SIEM 可與公有雲和私有雲平台整合。這可提供對雲端平台活動的可視性，例如來自虛擬機器、容器、SaaS 應用程式與雲端原生安全工具的日誌。次世代 SIEM 具備預建連接器，讓您能夠存取來自 SaaS 應用程式與雲端基礎架構（例如 IBM Cloud 和 Google Cloud Platform (GCP)）的事件與日誌資料。

比較傳統 SIEM 與次世代 SIEM

傳統 SIEM 的限制

• 傳統 SIEM 是為地端環境所設計。因此，其可擴充性受限於地端硬體所能提供的運算、儲存與記憶體資源。移轉至雲端後，傳統 SIEM 會因架構效率不佳而導致高昂的雲端基礎架構成本與緩慢的效能。
• 由於缺乏運算能力與儲存容量，傳統 SIEM 無法處理現今產生的大量熱資料。資料會儲存在冷儲存中，擷取速度慢且繁瑣，使得調查過去發生的威脅變得困難。
• 傳統 SIEM 擁有封閉式生態系，能與同一供應商的其他安全平台良好整合，但無法與不同供應商的平台良好整合。

次世代 SIEM 相較於傳統 SIEM 的優勢

• 次世代 SIEM 透過 SaaS 模式提供，利用雲端的彈性來提供無限制的運算、儲存與記憶體資源。
• 透過隨需可用的資源，您可以收集大量資料、延長儲存時間，並讓更多使用者更頻繁地存取這些資料。這讓您能夠掌握更多資料來源的可視性，進而提升安全態勢。它可從多種來源擷取資料，並透過開放式 API 傳送。
• 次世代 SIEM 會關聯來自多種來源的資料，包括安全性、網路、伺服器、應用程式與端點，不論其託管於私有雲、地端或公有雲。
• 次世代 SIEM 的架構使用開放式 API，讓您能與不同供應商的解決方案整合，並在您變更安全產品組合時將影響降到最低。

次世代 SIEM 解決方案的核心功能

1. 即時威脅偵測與回應

次世代 SIEM 使用行為分析即時偵測熟悉的攻擊特徵、關聯性與模式。它會彙整來自 IDS、 防毒軟體，以及驗證系統等來源的資料，讓您能快速偵測單一工具無法獨自識別的安全威脅與事件。您可以在威脅發生時立即回應，縮短回應時間。

2. 全面的資料收集與正規化

次世代 SIEM 讓您能從多個來源收集與事件日誌、網路流量及 Syslog 資料相關的資料，並透過分析系統進行剖析。它會關聯資料，若偵測到不合規活動、政策違規或潛在威脅，便會發送警示。此外，它利用可擴充的 NOSQL 資料庫，例如 Apache Spark、Hadoop 與 Elastic，以支援平行處理並加速資料擷取與分析。由於其低成本的分散式儲存，您可以低成本地儲存歷史資料。

3. 強化的事件可視性與調查

次世代 SIEM 提供安全事件的持續即時可視性。攻擊路徑視覺化功能可協助您像攻擊者一樣思考，了解攻擊者可能採取哪些路徑來利用弱點。

4. 彈性且可擴充的部署選項

依據您的業務需求與現有基礎架構設定，您可以為次世代 SIEM 選擇多種部署選項。

• 全代管 SIEM (MSSP)： 提供所有安全服務的第三方供應商。
• SaaS SIEM：專為雲端而建，並支援雲端原生基礎架構。
• 共同管理 SIEM：部分風險管理工作會外包給 SIEM 服務供應商，而現有的 IT 資安團隊則負責其餘工作。
• 混合式部署： 結合地端與雲端部署，其中部分基礎架構位於地端，部分位於雲端。

5. 合規與安全報告

次世代 SIEM 解決方案支援 AI 驅動的合規報告。它們會自動驗證 法規遵循 是否符合 GDPR、SOX、HIPAA、PCI DSS 等要求；產生稽核報告；並管理資料治理與隱私。它們會分析歷史與目前資料，以協助維持對規則與法規的遵循。此外，它們還提供可自訂的合規報告工作流程。

The Industry’s Leading AI SIEM

Target threats in real time and streamline day-to-day operations with the world’s most advanced AI SIEM from SentinelOne.

Get a Demo

導入次世代 SIEM 的挑戰

儘管具備先進能力，次世代 SIEM 解決方案並非毫無缺點。

1. 資料過載與品質問題： 組織每天可能記錄數十億筆事件。為了擷取用於威脅管理的資訊而儲存、彙整及分析這些資料，可能會讓次世代 SIEM 系統不堪負荷，並降低其效能。
2. 技能缺口與資源限制： 資安產業面臨人才短缺。全球約需要 四百萬名資安專家。您需要在次世代 SIEM 人才需求與預算限制之間取得平衡。
3. 與現有安全生態系統整合： 將次世代 SIEM 與多樣化的既有技術和系統整合可能相當複雜。此外，次世代 SIEM 是為現代化架構而建，對於使用傳統基礎架構的組織而言，可能會出現不相容問題。

採用次世代 SIEM 的最佳實務

#1. 評估組織需求與目標

成功導入次世代 SIEM 的首要因素，是定義明確的業務安全目標。您的關注點可能包括合規監控、進階威脅偵測、事件回應等。如此一來，您就能優先處理支援導入的關鍵流程與任務。

#2. 選擇合適的供應商與解決方案

當您充分了解自身的安全目標後，就該尋找具備足夠量能與能力來滿足您需求的次世代 SIEM 供應商。請確保其產品方案符合公司的預算。

#3. 充分訓練您的團隊

訓練次世代 SIEM 管理員與安全分析師，確保他們能夠回應警示。記錄您的導入流程，包括組態設定、維護與營運概念。

#4. 持續監控與改善

持續監控次世代 SIEM 的效能，並將其更新至最新版本，以因應新興威脅。

次世代 SIEM 案例研究與成功故事

Golomt Bank 是一家位於蒙古的都會零售銀行，使用 Securonix 的次世代 SIEM 來改善其資安態勢。該銀行先前使用傳統的規則式 SIEM，但缺乏偵測複雜網路威脅所需的進階行為分析能力。它也無法提供安全事件的即時可視性，或使用如 Singularity AI SIEM 等次世代 SIEM 平台所採用的統計關聯分析來關聯事件。因此，該銀行轉向 Securonix，使其安全團隊能夠即時監控來自各種來源的大量資料。藉由次世代 SIEM，他們也能運用 UEBA 功能，更好且更快速地偵測異常。

另一個案例研究是美國美妝零售商 Ulta Beauty，其運用 Sumo Logic 的 Cloud SIEM 來支援大規模雲端遷移，並保護其廣泛的電子商務平台。隨著該零售商的電子商務營收從 2 億美元成長至超過 20 億美元，其安全挑戰也隨之激增。透過使用次世代 SIEM，該公司改善了事件回應時間，確保能快速識別並緩解安全弱點。該零售商將威脅調查與回應自動化，節省了人力成本。然而，節省成本並非自動化的唯一效益。使用如 Singularity AI SIEM 這類次世代 SIEM 所提供的自動化工作流程，可讓您專注於核心業務。

總結

現代 SOC 需要具備現代化架構的敏捷、輕量化工具。傳統 SIEM 無法滿足這些需求。它們無法有效擴展，也無法提供快速事件回應服務所需的即時洞察。次世代 SIEM 解決方案透過其 AI 驅動的分析與雲端原生架構來彌補這些不足。它們具備高度可擴展性，並以低負擔提供即時可視性、自動化工作流程與事件回應劇本，協助企業平衡財務與安全需求。

SentinelOne 的 Singularity AI SIEM 提供次世代能力。它運用 AI 即時偵測威脅並回應安全事件。 申請示範，了解 Singularity 如何強化您的自主 SOC。