什麼是 SIEM（安全資訊與事件管理）？

什麼是 SIEM？

SIEM 是一種安全解決方案，可跨您的雲端與 IT 系統收集並關聯日誌與資料。它結合了安全事件管理（SEM）與安全資訊管理（SIM）。

SIEM 是 Security Information Event Management 的縮寫。它可偵測並回應威脅、簡化調查、提供詳細的日誌資料，並簡化合規作業。SIEM 解決方案是安全營運中心（SOC）的核心元件，您可將其作為硬體、軟體或託管式安全服務的一部分來部署。

SIEM 的主要功能有哪些？

現代 SIEM 能為您的組織執行許多工作。首先，它可以收集並分析您的資料日誌。您可以透過 SIEM 解決方案產生即時警示。

SIEM 可執行使用者活動監控，其儀表板可為您提供組織系統的集中式或整體檢視。SIEM 用於日誌鑑識、事件關聯對應及應用程式日誌監控。您也可以將其用於物件存取稽核與日誌保留。SIEM 可監控您的系統與裝置，包括其日誌。

它可執行檔案完整性監控，並產生日誌檔案的詳細報告。

SIEM 的優勢 不僅僅是日誌處理或協助儲存日誌檔案。您也可以查詢日誌、產生警示並加以審查，以將誤判降至最低。

本質上，SIEM 解決方案的主要功能包括：

• 能夠從多個來源收集資料，並處理多樣化的資料類型。
• 優秀的 SIEM 解決方案應能彙整其收集的資料，並發現與偵測威脅。
• 根據其日誌分析結果識別潛在資料外洩，並調查警示。
• 在描繪關係後偵測資料中的模式，這有助於識別潛在威脅。
• 它可判定資料是否顯示任何攻擊跡象、追蹤移動情況，並繪製攻擊路徑。
• 您從中獲得的所有洞察都能協助您防止資料外洩及未來的網路攻擊。強大的 SIEM 架構將包含所有這些 SIEM 的關鍵元件與功能。

SIEM 如何運作？

安全事件事件管理解決方案會從多個來源收集資料，包括伺服器、網路裝置、雲端應用程式及防火牆。它會建立關聯對應，並根據分析這些資料所產生的警示，自動回應被標記的潛在安全事件。SIEM 報告可簡化組織的合規作業，並協助鑑識調查。

SIEM 也能提升網路可視性並自動化伺服器安全。它可透過多種方式收集資料，例如透過 API 呼叫，或經由網路通訊協定直接從裝置收集。它也可直接從您的安全儲存區存取日誌檔案。您也可以在裝置上安裝代理程式。

現今的現代化組織可使用不同類型的 SIEM，例如開源與企業級 SIEM 解決方案。雖然免費 SIEM 解決方案尚可接受，但缺少許多進階功能，因此付費版本在威脅偵測與整體網路安全方面表現更佳。SIEM 可收集威脅情報、偵測並封鎖各種攻擊，並設定與定義規則，以協助安全團隊識別並排定威脅優先順序。

AI 與 ML 在 SIEM 中的角色

AI 與 ML 在提升威脅偵測與自動化回應方面扮演關鍵角色。它們有助於改善整體安全態勢，並可共同分析大量資料。AI 與 ML 能識別模式、從過往事件中學習，並主動偵測與緩解威脅。

以下是它們的主要角色：

• 行為分析： AI 與 ML 能發現偏離正常模式的情況，並可標記惡意活動。
• 異常偵測： AI 與 ML 能捕捉傳統基於特徵碼的偵測方法經常遺漏的異常值；它們也能發現進階持續性威脅（APT）與複雜的攻擊活動。
• IR 與威脅狩獵： AI 可主動搜尋威脅、攻擊模式，並找出入侵指標（IoCs）。它可隔離受感染系統、封鎖惡意流量，並加速事件回應。ML 搭配 AI 可減少誤判數量、聚焦於真實威脅，並發現事件鏈與協同入侵嘗試的跡象。
• 安全協調與自動化： AI 驅動的 SIEM 可與其他安全工具及複雜工作流程整合。它們可提升安全效率，並協助組織採取更主動的安全立場。AI 可分析即時威脅資料、與 SIEM 整合，並提供最新洞察。它們也有助於產生最新的全球威脅情報。
• 更佳的可視性與情境化： AI 與 ML 可分析來自多個且多樣化來源的資料。它們可提供組織安全態勢的整體檢視，並加入情境資訊。它們也有助於為 AI 驅動的 SIEM 系統產生詳細報告與儀表板。使用者也可透過使用它們所獲得的洞察，在過程中了解有價值的安全趨勢與關鍵事件。

SIEM 與 CSPM 比較

以下列出 SIEM 與 CSPM 的主要差異：

• SIEM 就像一名偵探，透過監視攝影機持續監控您的建築物。如果發生任何異常活動，它可以協助組織迅速採取行動並加以阻止。CSPM 則像是一份檢查清單，確保所有門窗都已妥善防護、關閉並上鎖。它可防止犯罪者入侵您的場所。
• 安全事件事件管理系統可偵測並回應發生在組織整體 IT 資產內部的威脅，包括雲端環境。SIEM 系統涵蓋各種來源的安全日誌與事件。它們可收集、關聯並分析安全資料，以找出潛在威脅與異常。
• 雲端安全態勢管理可保護雲端環境、修正錯誤設定，並處理合規違規問題。 CSPM 更專注於雲端及其安全問題。它可持續監控雲端資源、套用最佳雲端安全實務、標記錯誤設定，並處理政策違規。CSPM 也有助於實施最佳合規框架與法規標準。
• SIEM 可以分析來自網路、伺服器和應用程式的資料，以偵測異常活動和惡意程序的跡象。它可協助企業了解攻擊發生後的情況，以及如何處理持續存在的問題，進而幫助維持安全。CSPM 可提供對雲端資源、其行為以及與使用者互動的洞察。它會指出哪些因素使這些資產較不安全、目前的設定方式，以及為了進行必要的變更與改善需要採取哪些措施（包括標示錯誤與修正方式）。

導入 SIEM 的優勢

以下是組織導入 SIEM 的優勢：

• 整合式安全資料： 一般組織會持續接收來自端點、伺服器、應用程式及雲端環境的大量日誌。SIEM 會彙整所有這些資料，讓您的團隊能從單一視角監控並分析活動。這種整體檢視可將遺漏關鍵事件的風險降至最低。
• 快速且有效的 SecOps：進階關聯規則與分析功能可讓您的安全團隊快速識別威脅並將誤判降至最低。透過 SIEM，您可以發現正在進行中的攻擊、迅速回應以更快加以控制，並減輕潛在損害。
• AI 驅動的自動化： 現代 SIEM 解決方案使用機器學習來微調警示準確性。SIEM 可透過持續學習標準行為模式，識別出顯示惡意活動的偏差。這有助於您的分析師將最關鍵的警示排定優先順序。
• 威脅偵測準確性： 不同的 SIEM 解決方案採用多樣化的威脅識別方法，例如基於特徵碼的偵測、行為分析和威脅情報饋送。這些方法針對不同的威脅向量，因此單一解決方案即可提供多層防禦。
• 簡化法規遵循： 大多數產業都必須遵循 PCI DSS、NIST、CIS Benchmarks、HIPAA 和 GDPR 等規範。 SIEM 平台 提供集中式日誌封存、即時事件監控，以及可供稽核的報告，這些對於滿足法規要求並在稽核期間證明合規性至關重要。
• 提升雲端環境中的可視性： 隨著越來越多應用程式移轉至雲端，SIEM 解決方案提供與領先雲端服務供應商的內建整合。這種雲端交付的支援可確保公有、私有或混合式安全事件都能被正確記錄、監控與分析。
• 痛點解決： 工作負荷過重的 SOC 團隊、零散的工具以及大量警示都會對組織資源造成壓力。SIEM 可將重複性流程自動化，並整合分散的警示，讓您的團隊更有效率。它可提升其威脅狩獵能力，而組織還可透過套用這些 SIEM 最佳實務，進一步發揮其效益。

SIEM 部署中面臨的挑戰

SIEM 系統是高度多功能的工具，可協助組織因應多種安全挑戰。以下是 SIEM 解決方案展現關鍵價值的十大使用案例：

1. 入侵偵測與防護: SIEM 系統在監控與分析網路流量及系統活動方面扮演關鍵角色，以偵測未經授權的存取與潛在的入侵嘗試。透過關聯來自各種來源的資料，SIEM 解決方案可識別顯示攻擊跡象的可疑模式或行為。一旦偵測到可能的入侵，SIEM 解決方案即可觸發警示與自動化回應——例如封鎖惡意流量或隔離受影響的系統——以防止未經授權的存取，並即時阻止威脅。
2. 惡意軟體偵測：系統的另一項重要用途是用於 惡意軟體偵測 與回應。SIEM 系統透過跨網路與端點的模式與行為分析來偵測惡意軟體。SIEM 可監控是否存在感染指標，例如檔案的異常修改、可疑的網路通訊，以及其他類型的異常。它可啟動遏制措施，例如隔離裝置、觸發防毒掃描，並防止感染惡化。
3. 內部威脅偵測：  SIEM 系統可解決如何偵測來自使用者內部的威脅這項問題。SIEM 解決方案透過監控每位使用者的活動，並識別可能顯示 內部威脅 或其他政策違規的模式來達成此目的。系統可發現資料存取模式或登入時間的突然變化，這可能顯示員工惡意或無意行為的跡象。此類 SIEM 系統可產生警示並提供洞察，協助安全團隊研究並降低可能造成損害的內部威脅。
4. 合規監控：幾乎所有企業都必須遵循特定的產業與法規遵循標準。在這種情況下，SIEM 系統發揮關鍵作用。SIEM 解決方案提供組織的記錄與報告能力，以符合 GDPR、HIPAA 和 PCI-DSS 等法規要求。透過 SIEM 完整記錄安全事件與活動，稽核會更容易進行，且組織可以確保自己能夠證明符合此類規則與標準，降低因未遵循規範而遭受罰款的風險。
5. 網路釣魚攻擊偵測： Phishing一直是持續性的威脅，而 SIEM 已進入此領域以偵測並防範這些攻擊。透過對電子郵件流量與使用者行為進行指紋辨識，大多數網路釣魚特徵，例如可疑的電子郵件內容與異常的連結模式，都可以透過 SIEM 平台進行指紋辨識。安全團隊將會收到可能發生網路釣魚活動的警示，而 SIEM 解決方案也可強制執行封鎖惡意電子郵件的機制，大幅降低網路釣魚攻擊成功的風險，避免導致敏感資訊遭到入侵。
6. 資料外洩防護：阻止未經授權的資料傳輸變得相當重要，以確保敏感資料受到保護。SIEM 系統需要追蹤網路中的資料流，以偵測並防止潛在的資料外洩行為。SIEM 平台會分析資料流的模式與存取情況，以識別性質異常或未經授權的資料移動，例如將大量資料傳送至外部位置。若識別出此類活動，系統即可發出警報並採取相應行動，以防止任何可能的資料外洩以及珍貴資訊的流失。
7. 帳戶接管防護：透過保留登入活動與對已遭入侵帳戶的存取記錄，SIEM 系統可將此類潛在威脅降至最低。這些平台也會發現異常情況，例如過多的登入失敗次數、來自未知位置的登入，或使用者權限的變更。藉由能夠識別 帳戶接管 的徵兆，SIEM 解決方案可向安全團隊發出可能發生入侵的警報，並讓他們採取修正行動。
8. 網路異常偵測：網路異常偵測的一個例子是，SIEM 系統具備這項主要功能，可監控網路流量中的異常模式。SIEM 平台會監控網路行為偏離常態的情況，並識別從 DDOS 到網路掃描等各種威脅或攻擊。這些 SIEM 工具 會發出警示，並提供有關異常性質與範圍的情報，以協助安全團隊做出適當回應，避免潛在風險。
9. 日誌管理與分析：日誌管理有助於理解安全事件、疑難排解與事件分析。SIEM 系統會彙整來自伺服器、應用程式和網路裝置等不同來源的日誌進行分析，呈現涵蓋整個組織的整體視圖。它們可提供更佳的安全事件可視性，支援根本原因分析，以及事件調查與回應。它們也支援日誌彙整與分析。
10. 端點防護：當 SIEM 系統與端點安全系統整合時，可針對以端點為目標的威脅提供更全面的防護。將端點資料與其他網路及系統事件日誌進行關聯，可協助 SIEM 強化威脅偵測與回應。SIEM 系統有助於發現惡意軟體感染、程序異常行為，以及跨端點的未授權存取嘗試。

各產業中的 SIEM 使用案例

以下是一些不同產業中常見的 SIEM 使用案例：

• Bank of Wolcott 在處理其龐大資料量時面臨許多挑戰。它無法追蹤每天有哪些內容被修改、變更或刪除。該銀行採用了 SIEM 解決方案，以追蹤檔案伺服器中的資料流與資料移動情況。它會向組織傳送自動化警示，並偵測及回應透過 USB、電子郵件、印表機等管道進行的資料外洩嘗試。
• 另一個 SIEM 有效應用的例子，是 VMware 客戶在多個網域中的案例。他們在識別網路內部攻擊方面面臨挑戰，且無法掌握端點可視性。SIEM 協助監控端點，以發現可疑檔案程序、未授權權限提升嘗試等異常活動，並識別異常的網路連線。它也協助隔離遭入侵的端點，並實現即時監控。
• SIEM 協助 SolarWinds 偵測內部威脅。它從外部威脅情報饋送擷取資料、套用關聯規則，並驗證使用者身分與存取詳細資訊。SIEM 系統搭配 UEBA 使用，以找出偏離正常使用者行為的情況（例如非正常工作時段或不熟悉的登入位置）。
• RCO Engineering 對 IT 與安全事件的可視性有限。它使用 SIEM 來統一日誌管理、網路安全，並設定可自訂警示。SIEM 系統也有助於安全稽核與監控，並協助確保更佳的合規性。
• 巴基斯坦的政府監管機構已發布新的指引。銀行使用 SIEM 系統來改善其既有的安全管理與威脅偵測措施。SIEM 為他們整合來自多個來源的日誌，以集中化監控。它減少了每日安全事件的數量，並縮短了平均修復時間。

另請閱讀 SIEM 的 10 大使用案例。

SIEM 的限制

以下是使用 SIEM 的限制：

• SIEM 系統可能過於難以整合。它們可能存在相容性問題、資料格式差異，且可能無法處理龐大的資料量，尤其是在資料微調與自訂方面。
• 視組織規模而定，SIEM 系統可能需要龐大的資本投資。持續性的維護與更新成本也可能上升。
• SIEM 可能產生誤報警示並加劇警示疲勞。它們也難以設定與配置，且可能耗費大量資源。傳統 SIEM 缺乏安全自動化，且僅提供有限的端點可視性。
• 某些 SIEM 在管理來自多個來源的資料時會遇到困難。它們可能進行不準確的資料分析、面臨提供不完整資料等挑戰，並遺漏隱藏在複雜資料集中的威脅。

SIEM 實作最佳實務

以下是應遵循的 SIEM 實作最佳實務清單：

• 了解您的組織需求。定義您的 SIEM 使用案例與目標，並排定特定安全需求的優先順序。評估您的 SIEM 系統需要處理的資料量與資料類型。檢查您的基礎架構需求，將其分類，並為可擴充性與資料成長做好規劃。
• 選擇正確的 SIEM 部署策略。部署類型很多，例如雲端式、地端式與混合式 SIEM 部署。SIEM 可協助從多個來源收集日誌，例如入侵偵測系統、伺服器、防火牆與使用者活動日誌。
• 確保所有傳入資料都能經過清理，以維持一致性與可靠性。這將有助於威脅偵測，因此在實作 SIEM 時，將傳入資料標準化是必要條件。您應具備建立關聯規則並將其與不同資料來源的相關事件連結的能力。如此一來，SIEM 就能偵測複雜的攻擊模式與行為。您也需要微調警示並降低警示雜訊，以精準找出真正的威脅並排除誤報。
• 盡可能使用 SIEM 自動化，並將重複性工作自動化。將威脅情報與 SIEM 整合，以偵測進階攻擊模式。定期使用 SIEM 測試您的事件回應計畫，並確認其是否運作良好。訓練您的安全團隊如何使用 SIEM、其不同功能，以及威脅偵測技術。檢視 SIEM 產出的報告、資料與稽核結果，並確保它不會遺漏任何內容。
• 尋找能與您目前的安全基礎架構及其他 SOAR 平台良好整合的 SIEM 解決方案。嘗試雲端原生與 AI 驅動的 SIEM 解決方案，因為它們具備可擴充性且更具彈性。

SIEM 如何與其他安全解決方案整合：SOC、SOAR 與 EDR

SIEM 會以各種方式與 SOC、SOAR 和 EDR 等其他安全解決方案整合。以下說明其運作方式：

1. SIEM 與 SOC

A 安全營運中心 (SOC) 是一個集中式設施，安全團隊可在其中監控、偵測、分析並回應資安事件。SIEM 解決方案通常是 SOC 的關鍵組成部分，提供威脅偵測與回應所需的工具和資料。SIEM 解決方案著重於彙整與關聯安全事件資料，而 SOC 則涵蓋更廣泛的功能，例如弱點管理、威脅情報與事件回應。

2. SIEM 與 SOAR

安全協調、自動化與回應 (SOAR) 平台旨在透過整合多種安全工具並自動化例行工作，來簡化並自動化安全營運。雖然 SIEM 與 SOAR 解決方案都旨在提升安全營運的效率，但其主要功能有所不同。SIEM 著重於事件管理、關聯分析與威脅偵測，而 SOAR 則強調流程自動化、安全協調與事件回應。許多組織會導入 SIEM 來偵測威脅，並使用 SOAR 解決方案來補救這些威脅，實質上使組織能夠達成全面且高效率的安全態勢。

3. SIEM 與 EDR

端點偵測與回應 (EDR) 解決方案專注於在端點層級監控、偵測並回應安全威脅，例如工作站、筆記型電腦與伺服器。相較之下，SIEM 解決方案會彙整並分析來自各種來源（包括 EDR）的事件資料，從而提供組織安全態勢的更廣泛視角。雖然 EDR 解決方案 提供進階端點防護與威脅狩獵能力，但 SIEM 解決方案則作為整個網路中事件管理、事件關聯與威脅偵測的中央樞紐。SIEM 可將來自 EDR 的資料與其他事件進行關聯，以產生更深入的調查。

選擇合適的 SIEM 工具：您的採購指南

選擇合適的 SIEM 工具時，有許多事項需要考量。以下是一些注意事項：

• 評估您的法規遵循期望（例如 PCI-DSS、HIPAA、GDR 及其他標準）。查看您的 SIEM 系統是否提供預先建置的範本與報告功能。
• 優質的 SIEM 解決方案可與威脅情報來源整合，並為您提供最新網路威脅的更新資訊。SIEM 也應考量您組織中產生的資料量與資料速度。
• 您應尋找根據您所管理的裝置與資產數量而定的授權選項。也請留意適用於 SIEM 的功能，例如進階分析、以機器學習為基礎的威脅偵測，以及安全協調、自動化與回應 (SOAR) 整合。

查看我們關於最新 SIEM 工具的指南，了解哪些是業界最佳選擇。

SentinelOne 的 AI SIEM | 適用於 Autonomous SOC 的 AI SIEM

SentinelOne 的 Singularity™ AI SIEM 為您提供保護整體基礎架構所需的一切。它建構於 Singularity™ Data Lake 之上，並由業界最快的 AI 驅動工作流程提供支援。適用於 Autonomous SOC 的 SentinelOne AI SIEM 可為整個企業提供即時 AI 驅動防護。

以下是它的功能：

• 協助企業遷移至雲端原生 AI SIEM
• 重塑您的安全營運；您將獲得其無限擴展性與無限資料保留的優勢
• 透過 Hyperautomation 加速安全工作流程
• 提供顯著的成本節省與即時 AI 型資料保護
• 可擷取所有多餘資料並保留您目前的工作流程
• 透過 AI 驅動的偵測獲得更多可採取行動的洞察。從規則集與查詢轉向更高效的演算法
• 絕不會將您綁定於任何供應商。您可隨時選擇加入或退出。
• 可擷取結構化與非結構化資料。原生支援 OCSF，並可從任何來源擷取第一方資料與第三方資料，且每日免費包含 10GB。
• 將 SentinelOne 強化並整合至您的 SOC。它會篩選、豐富並最佳化您舊有 SIEM 中的資料。
• AI SIEM 提供進階分析與詳細報告。它可讓組織深入了解其安全態勢，並協助做出資料驅動的決策以改善防禦。SentinelOne AI SIEM 支援多種平台，包括 Windows、macOS 和 Linux。它提供深入的安全涵蓋範圍，並提供快速且準確的威脅回應。

Singularity AI SIEM 不僅僅如此。它可保護端點、雲端、網路、身分、電子郵件等。您可以串流傳送資料以進行即時威脅偵測，並獲得機器速度的防護。透過業界唯一的統一主控台體驗，為調查與偵測取得更高的可視性。建立自訂工作流程以滿足您獨特的安全需求。

結論

您可以部署強大的 SIEM 解決方案，讓組織能夠快速偵測威脅、滿足法規遵循要求，並將多樣化的資料串流整合至單一集中式平台。它不僅僅是日誌收集；SIEM 會為事件加入情境脈絡，以在惡意活動影響您的業務之前將其呈現出來。現代 SIEM 也使用 AI 來自動化威脅回應工作流程，並減輕安全團隊的負擔。

SIEM 透過關聯來自端點、雲端與網路裝置的資訊，提供深度可視性。它提供防禦持續演變之網路攻擊的能力。隨著數位風險持續增加，妥善部署的 SIEM 將成為基礎支柱，讓您的組織維持網路韌性與安全。立即試用 SentinelOne。