SIEM 與 SOC：7 項關鍵差異

Vectra AI 的《2023 年威脅偵測現況：防禦者的兩難》揭示了您的安全團隊在保護組織免受網路威脅時面臨的阻礙，以及為何目前管理安全營運的方法難以持續。在此情況下，組織每年僅在手動分流成本上的支出就高達 33 億美元，而安全團隊還必須承擔將持續擴大的攻擊面降至最低，並從每日數千筆且持續增加的警示量中進行篩選的負擔。

研究發現，在過去 3 年內，大多數公司的情況如下：

• 63% 的公司表示其攻擊面有所擴大。多數安全分析師無法處理每日收到的 67% 警示，且誤報數量持續增加。
• 每天最多有三小時浪費在手動分類警示上。97% 的安全分析師擔心自己錯過了相關的安全事件。
• 34% 的分析師曾考慮離職，因為他們根本無法在缺乏適當工具與解決方案的情況下保護組織。

SIEM 系統會即時記錄來自各種來源的威脅資料，並提供安全事件關聯分析。它們透過自動化與事件回應及威脅偵測相關的手動流程，協助企業團隊偵測系統異常。多年來，這些解決方案也已演進納入 UEBA（使用者實體行為分析）。

SIEM 需要 SOC 團隊監督組織的網路防禦策略。實際上，SOC 是一支安全專家團隊，能夠隨時監控、理解並分析與安全相關的事件。這類團隊可存取不同的工具與技術，協助進行威脅偵測、事件回應與風險緩解，其中包括 SIEM 等系統。SIEM 是自動化的實際應用，而 SOC 則是網路安全中的人為要素。在這個快速變化的網路安全環境中，兩者都至關重要。

SOC 與 SIEM 結合後，可讓企業同時實現強大的數位防護與企業敏捷性，提升回應能力。接下來我們將進一步說明 SIEM 與 SOC 之間的七項關鍵差異，並為您詳細解析兩者。

什麼是 SIEM？

安全資訊與事件管理可透過彙整來自各種來源的資料、對其執行分析，並協助專家找出可能的威脅，從而減輕安全團隊的負擔，避免警示疲勞。它使他們能夠建立實際風險的優先清單，並設計有效的攻擊策略來降低這些風險。

SIEM 的主要功能有哪些？

現代 SIEM 系統旨在滿足不同的合規要求。由於威脅態勢不斷變化，SIEM 解決方案必須能夠從不同來源與格式蒐集資料，然後加以分析。如今，SIEM 系統結合了最新且最先進的技術——人工智慧與 機器學習——來完成這項工作。

它們通常包含以下核心功能：

• 強大的資料架構 – 這些系統利用資料科學演算法來執行快速查詢與視覺化。現代 SIEM 系統中的日誌保留設定可協助組織依特定來源與日誌類型，在所需時間範圍內保留資料。防止不必要資料的累積至關重要，而 SIEM 系統可自動清除不需要的日誌。
• 使用者與資產情境強化 – 這涵蓋了識別服務帳戶、追蹤資產所有權、動態同儕群組、免費威脅情報整合與關聯分析，以及能夠查詢使用者登入資訊、同儕群組和其他關鍵資訊等面向。
• 自動化橫向移動追蹤 – 超過 80% 的網路攻擊涉及 橫向移動。攻擊者通常會取得未經授權的存取權限、提升權限，並試圖劫持高層級 IP 位址與資產。現代 SIEM 提供預先建置的事件時間軸，以及涵蓋所有可用威脅相關情境的單一視窗檢視。它們可確保安全專家擁有足夠資訊，以投入充分時間進行調查，並在過程中獲得深入的安全領域專業知識。
• TDIR 工作流程自動化 – SIEM 系統應能實現威脅回應自動化，並將所有安全工具集中於單一位置。這包括回應劇本，將各種威脅類型的最佳回應方式編碼化，作為其工作流程自動化實務的一部分。
• 雜訊降低: 這是一項關鍵能力，可協助安全專家重新掌控此領域。現代 SIEM 系統應聚焦於具有異常行為的事件，並排除誤報。同時還應在控制成本的情況下提供高效能表現。
• 協同運作能力 – 開發人員應能將預先建置的連接器部署到其 IT 基礎架構中，而無需手動撰寫指令碼。您的 SIEM 必須具備新增升級的能力。使用者應能確保更快的平均解決時間、在存取管理系統之間推送與擷取資料，並為初階分析師建立劇本。

The Industry’s Leading AI SIEM

Target threats in real time and streamline day-to-day operations with the world’s most advanced AI SIEM from SentinelOne.

Get a Demo

什麼是 SOC？

A Security Operations Center (SOC) 是一支負責監督組織內所有安全營運的安全專家團隊。SOC 由具備指定角色的各類團隊成員組成，例如：

• SOC 經理
• 事件回應總監
• 安全分析師
• 安全工程師
• 威脅獵捕人員
• 鑑識調查人員

這些團隊中還包含其他專家，而且每位成員都可能負責特定用途。根據組織的規模與業務需求，可能會增加更多角色與團隊成員。關於如何建立 SOC 團隊，並沒有一成不變的規則，但普遍共識是，SOC 會從遭入侵的系統擷取資料以進行威脅分析。自動化安全工具可能存在偏差，且人為錯誤的幅度也各有不同。企業中的 SOC 部門會填補這些缺口，並有助於實現整體性的網路安全視角。

SOC 的主要功能有哪些？

以下是 SOC 的主要功能：

• 至少而言，每種類型數位資產的價值都應反映在優秀的 SOC 中。它必須配備可保護組織免受勒索軟體、惡意軟體、病毒、網路釣魚或其他形式網路攻擊的工具。在某些情況下，現代 SOC 內部可能也會具備資產探索解決方案。
• SOC 團隊應能提出確保業務不中斷的措施。一般預期生產力以及營收都應提升，且客戶滿意度應獲得最佳化。這可確保 SOC 協助組織遵循受監管的安全標準，以最有效的方式記錄與留存安全事件、回應與活動。
• SOC 團隊也負責各公司日常及／或預防性維護工作。預期他們會執行例行修補、軟體與硬體年度升級，並持續更新防火牆。強大的安全政策、流程及適當備份皆由他們進行設定。視其安排而定，他們會正確地將任務與責任委派給其他人，包括為大型延伸 IT 架構與雲端資源提供 24/7 安全涵蓋。
• 某些 SOC 會部署 XDR 技術，將日誌管理與分析延伸至網路事件。它們用於建立安全基準與可接受的正常行為。組織將其作為參考點，用來監控可疑活動、加以標記，並確保其系統中不存在數月或數週都未被偵測出的病毒或惡意軟體變種。

SIEM 與 SOC 之間的 7 項關鍵差異

#1 監控與分析 – SIEM 系統旨在蒐集、監控與分析資料來源中的威脅，並對其進行回應。這些系統提供即時威脅識別、事件自動回應、報告與分析工具。

SOC 解決方案整合程度更高，並主張監督與協調組織的安全性。其包含的部分功能包括威脅偵測、事件回應、威脅情報、弱點管理，以及安全治理等。

#2 事件處理 vs 威脅狩獵 – SIEM 提供事件處理的自動化功能，而 SOC 則透過事件管理與威脅狩獵，提供手動處理事件的能力。

#3 威脅情報 – 在威脅情報方面，SIEM 的能力相較於 SOC 較為有限，而 SOC 在威脅情報、威脅研究與威脅分享方面具備更高的能力。

#4 弱點評估 – 在 SIEM 中，幾乎沒有提供 弱點管理；而在 SOC 中，則提供非常全面的弱點管理，其中也包括弱點掃描與修補程式管理。

#5 資料治理與合規 – 就安全治理而言，SIEM 基本上缺乏強大的功能，而 SOC 則透過允許管理安全政策以及合規，呈現出更成熟的安全治理功能。

#6 報告與分析 – SIEM 提供具備分析功能的即時報告，而 SOC 同樣提供此功能，但範圍更廣，在預測分析與威脅建模方面具備更進階的報告與分析能力。雖然警示與通知的自動化實作由 SIEM 完成，但 SOC 提供能力更高的警示與通知，並包含延伸警示與通知規則的選項。

#7 安全設計 – 就設計而言，SIEM 採水平導向，SOC 採垂直導向，SIEM 的設計目的是管理與協調整個組織的整體安全。SIEM 與 SOC 在其目標、重點領域、範圍與需求方面有所不同。

SIEM vs SOC：主要差異

雖然 SIEM 有助於集中式資料分析，Singularity’s platform 可在端點與雲端環境中自動化威脅偵測，讓安全營運更加精簡流暢。

SIEM 與 SOC 的主要優勢是什麼？

SOC 可視為一項額外服務，能提供支援並強化 SIEM 所提供的所有健全安全措施。有些 SOC 團隊會將您的安全需求委外給受管安全服務供應商，也就是 MSSP。

結合 SIEM 與 SOC 的主要優勢如下：

1. 可持續監控、快速部署，並且易於維護不同的攻擊面。
2. 稽核由負責執行組態檢查以及相應例行作業與維護活動的人員進行
3. 抑制錯誤的安全警報與資料警示
4. 企業持續符合 HIPAA、SOC2、NIST 等各種標準。
5. 將資源採購與分配最佳化，以實現可觀的財務節省。
6. 持續監控可識別潛在威脅，並確保立即回應與調查。

將 SIEM 與 SOC 功能整合可提供更佳的威脅可視性。 Singularity’s XDR 旨在強化這種整合，提供即時回應與防護。

SIEM 與 SOC 的主要限制是什麼？

1. 雖然有些 SIEM tools 使用即時資料，其他則使用記錄資料，而這些資料有時可能已過時或回填。最終結果是對安全事件的反應遲緩；換句話說，駭客有時間大肆破壞。
2. 大多數 SOC 團隊缺乏運作所需的人力、資金與技術；他們是資源相當有限的團隊。幾乎全球所有 SIEM 系統都肩負偵測安全相關事件的角色，但往往無法充分掌握其所調查之特定安全事件周邊的情境。
3. 最常見的缺點之一是，SIEM 與 SOC 系統都無法連接到其他安全設備與軟體；因此，它們形成孤島，無法進行資訊共享。大多數 SIEM 與 SOC 系統採取被動式監控，而非持續監控，這可能無法即時掌握不斷演變的安全威脅。

何時該在 SIEM 與 SOC 之間做選擇？

如果您需要 threat hunting在最基本的層面上，如果您的主要目標是擁有有效率的方法來識別並回應威脅。SIEM 無法執行進階弱點掃描；SOC 涉及即時安全性掃描，安全防護全天候 24/7 存在，而且「那些人」知道自己在做什麼。但它們在導入成本方面相當高，而另一方面，SIEM 的導入成本則相對較低。老實說，如果您才剛進入資安領域，從 SIEM 開始是最理想的方式。但對於正在成長的組織，建議將 SIEM 與獨立的 SOC 團隊搭配使用，以獲得最佳成效。

SIEM 與 SOC 使用案例

以下是組織最常見的 SIEM vs SOC 使用案例：

• 企業可使用 SIEM 偵測惡意軟體爆發並隔離受影響的系統。SOC 最適合用於提供即時監控、事件回應、弱點管理與進階威脅偵測。
• SIEM 可協助您符合 HIPAA、NIST 與 PCI-DSS 等各種法規遵循標準。SOC 則會更著重於資料治理服務，並包含風險評估與安全稽核。
• SIEM 可監控並分析雲端式記錄資料，並偵測安全威脅。SOC 將提供 cloud security services，包括事件回應管理。
• SIEM 可透過分析記錄資料中的模式與異常，協助您識別常見威脅趨勢。SOC 則會運用 AI 與機器學習提供進階分析，以偵測未知威脅。

為您的組織選擇合適的解決方案

在 SOC 與 SIEM 之間做選擇將取決於各種因素。首先，這取決於您的預算與業務需求。小型組織與新創公司不需要一開始就建立專屬的 SOC 團隊。如果您正在尋找可協助您確保符合法規要求的基本安全解決方案，SIEM 可能是較好的選擇。相較於 SIEM，SOC 需要更多團隊專業能力與投資，且需要相當長的時間來建置。然而，其成果是值得的。最終，這兩種解決方案都可以根據您不斷變化的需求進行擴充或縮減。

Singularity™ AI SIEM

Target threats in real time and streamline day-to-day operations with the world’s most advanced AI SIEM from SentinelOne.

Get a Demo

結論

SIEM vs SOC 回應企業中的不同需求。

SIEM 是一種技術解決方案，用於收集、監控與分析日誌資料，目的是偵測並回應安全事件。另一方面，SOC 是一種以人員為核心的解決方案，提供由安全專家組成、全年無休 24/7 可用的團隊，以監控並回應安全事件。這些不同解決方案的優勢與弱點，正是促使組織決定採用其中一種或同時採用兩者的原因。因此，在 SIEM 與 SOC 之間的選擇，將取決於安全成熟度、業務需求與預算。如果組織選擇了正確的解決方案，其安全態勢將會更佳，因為這將大幅降低網路攻擊風險，並保護其寶貴資產。