SIEM 實作：規劃與最佳實務

身為資安經理，解析錯誤日誌可能是一件苦差事。首先，除了必須篩查數以百計的項目之外，您還需要在各種系統、伺服器、作業系統等中重複執行這個流程數次。此外，每個系統都可能使用其特有的日誌撰寫方式，因此分析師必須記住大量的格式樣式。完成這些之後，接著就該在剛解碼的資料中尋找模式，例如多次登入失敗嘗試、不尋常的存取時間，或來自不同地點的不尋常存取。

這有時可能很繁瑣且非常耗時。這就是為什麼 SIEM 是每個組織安全工具庫中不可或缺的工具。它可透過從各種來源收集情報，輕鬆處理資料。您可以獲得即時監控的效益，並接收任何異常安全事件的警示。您可以迅速且輕鬆地指出異常事件。

今天，我們將討論 SIEM 解決方案的部署。我們將回答以下問題：什麼是 SIEM？它為何有幫助？以及您如何在組織中逐步實作？讓我們開始吧。

什麼是 SIEM，以及它如何運作？

SIEM 解決方案是強大的安全工具，可收集並分析來自整個網路安全系統中原本分散的日誌，並利用這些資料為您提供及時的安全警示。若沒有它們，日誌分析將變成漫長且費力的工作，因為安全管理人員需要逐一檢視每個系統、了解其格式，並在資料中搜尋錯誤線索。SIEM 也會分析來自組織基礎架構內各種來源的安全相關資料。

選擇合適的 SIEM 解決方案

選擇 SIEM 解決方案具有主觀性，但也至關重要，而且每家企業都必須做出決定。 領先供應商如 SentinelOne 提供業界最佳選項。重要的是找到符合您獨特需求的解決方案。一個很好的起點是評估您的環境與安全優先事項；這是因為 SIEM 解決方案在功能集方面確實非常多樣。

產生 SIEM 報告需要一些時間，這可能會對您的事件回應與偵測時間造成負面影響。因此，自動化必須成為重點，同時確保您選擇的 SIEM 解決方案可原生即時產生報告，以協助改善您的整體安全態勢。

您需要將 SIEM tool 的可擴充性納入考量，尤其是在您的組織成長時。網路上產生的資料量持續增加，因此，該解決方案是否能隨著新增資料來源而擴充，並因應不斷變化的需求，將至關重要。關於解決方案擴充能力的透明度，例如透過以裝置或資料來源為基礎的授權方式，對於確保解決方案能滿足您未來需求將非常關鍵。

長期事件儲存與法規遵循也同樣必要。由於日誌與安全事件資料會快速湧入，選擇具備足夠且可自訂儲存能力的 SIEM 變得至關重要。這對法規遵循大有助益，並可確保只有相關資訊會被保留在儲存空間中。

最後但同樣重要的是，解決方案能夠多麼輕鬆地部署與實施，以滿足使用者的需求。SIEM 解決方案的部署流程通常是最依賴跨部門協作的流程之一。選擇能夠提供更完整文件、使用者指引，以及較不複雜設定流程的供應商，可以大幅加快部署與設定您所選 SIEM 解決方案的整體流程。這表示您的團隊將能迅速啟用該工具，並充分發揮其能力，以協助更有效地保護您的組織。

為您的組織準備新的 SIEM 解決方案

實作新的 SIEM 解決方案需要審慎規劃與執行，並且要徹底了解您組織特殊的安全與法規遵循需求。這段旅程的第一步，就是定義您的安全目標。例如，您實作新的 SIEM 解決方案，是為了提升威脅偵測能力、增強整體網路可視性，還是確保符合 GDPR、HIPAA 或 PCI-DSS 等法規遵循標準？

明確定義的目標將構成整個實作流程的基礎；所採取的每一步都應朝向您組織整體的安全策略前進。

在進入實作流程之前，絕對必須先分析您組織目前的安全態勢。這將包括識別所有潛在資料來源、所需的整合類型，以及為了讓 SIEM 解決方案適應您的環境所需的客製化程度。擬定包含實際時程與關鍵里程碑的專案範疇，將有助於有效管理預期與資源。最重要的是，您需要為員工提供完整的培訓計畫，涵蓋 SIEM 管理、事件處理流程、報告與疑難排解，這些都是成功實作並應用該解決方案的關鍵要素。

在採用時，您可以選擇分階段實作或逐步推出。

The Industry’s Leading AI SIEM

Target threats in real time and streamline day-to-day operations with the world’s most advanced AI SIEM from SentinelOne.

Get a Demo

SIEM 安裝與設定

安裝 SIEM 解決方案的第一步，是從公司的網站下載軟體。接著您需要安裝 SIEM。有些供應商也會提供已預先安裝 SIEM 軟體的專用硬體，但如果您的供應商沒有提供，務必確保您要安裝的硬體具備足夠的運算能力，以持續監控您的整個網路。

不過，如果您選擇的是雲端型解決方案，您只需要在雲端供應商的平台上設定新的執行個體（AWS、Azure、GCP 等）。請參閱您的 SIEM 解決方案供應商，以取得具體的設定步驟。

整合資料來源

安裝完成後，您應開始將預先決定的資料來源整合至 SIEM。常見的資料來源包括網路裝置（例如路由器）、應用程式伺服器與使用者裝置、IPS 與 IDS 系統，以及雲端平台，以取得雲端資源使用情況與安全事件的洞察。您可以納入盡可能多的資料來源，或僅納入少數來源，以監控您網路中的特定部分。許多組織會為其應用程式和／或雲端服務設置專用的 SIEM 系統。

您必須設定這些資料來源，以產生並傳送日誌到 SIEM。不同的作業系統具有各種記錄通訊協定，您可以使用這些通訊協定來擷取事件。Windows Event log 和 Syslog 是常用於透過網路傳送日誌的通訊協定。許多裝置和應用程式都可以設定為透過 Syslog 將日誌轉送到 SIEM。不過，您也可以在端點上安裝代理程式，自動將日誌資料傳送到 SIEM，或者您可以設定 SIEM 即時監控伺服器或應用程式上的特定日誌檔案。

如果您正在監控雲端服務，傳統記錄功能可能無法使用。您可能必須使用原生雲端記錄服務。但大多數雲端記錄服務都會產生詳細的日誌項目，您可以將其導向至 SIEM。

自訂與微調您的 SIEM

當您的 SIEM 啟用並運作後，您需要進行設定，以確保其行為符合您的需求。

這通常的第一步，是定義正常網路活動的樣貌，以及哪些不屬於正常網路活動。最好的做法是使用您在差距分析期間，從預先建立的 attack vectors 所取得的先前資料。透過這些資料，您可以建立正常活動層級與網路流量的基準。接著，您可以設定關聯規則。關聯規則會告訴 SIEM，如果某一對或某一串事件依特定順序發生，就應觸發通知。

Luminis 的 blog 提供了一個很好的例子。根據他們的說法，您可以設定一條關聯規則：「如果在十五分鐘內（「x」），從相同 IP 對同一台機器以不同使用者名稱進行五次失敗的登入嘗試，則警告管理員；[並且] 如果該事件之後，從相同 IP 位址對網路內任何機器發生一次成功登入（「y」）。」

這當然可能是人為錯誤。但也可能是攻擊者試圖以暴力破解方式進入系統。

您也可以量身打造警示機制，以符合團隊的特定工作流程。您可以考慮設定電子郵件通知、SMS 通知等等。

SIEM 實作中的挑戰與最佳實務

#1. 複雜性

實作 SIEM 的最大挑戰可能在於其複雜性。如您所見，這並不是一個容易的流程！

如果您不是網路安全技術人員，投資一支具備技能的團隊至關重要，該團隊能評估您的網路、設定關聯規則、判定要整合哪些資料來源，並量身打造符合團隊需求的警示。若未這麼做，可能導致遺漏威脅或出現誤判，進而影響您的公司。

#2. 可擴充性

可擴充性是組織必須預先準備的另一項潛在挑戰。隨著組織成長，它需要能處理網路上持續增加流量的 SIEM 解決方案。若無法做到，可能導致遺漏威脅和/或效能問題。

組織在選擇 SIEM 時應將可擴充性納入考量，並確保選擇適合自身的部署模式。

#3. 隱藏成本

許多 SIEM 解決方案可能除了年度訂閱費之外，還有隱藏成本。您應徹底了解供應商的服務條款，尤其是在網路使用量與資料量方面。

選擇合適的 SIEM 至關重要

為您的組織選擇 SIEM 解決方案，可能是一個漫長且令人卻步的流程。您必須確保妥善評估基礎架構、為組織選擇合適的服務，然後正確完成設定，才能有效運作。不過，這個流程不一定總是困難。像 SentinelOne 這樣具備彈性方案與頂尖支援的解決方案，能讓選擇合適方案變得容易。