SIEM

本文约需 2 分钟阅读

SIEM (Security Information and Event Management) 是指从组织内各种系统和网络设备集中收集、分析安全日志，实时检测威胁的平台。通过对来自防火墙、IDS/IPS、服务器、应用程序等多样来源的日志进行关联分析，可以检测出单一日志会遗漏的高级攻击模式。截至 2025 年，利用 AI/ML 的下一代 SIEM 正逐渐成为主流，通过 UEBA (User and Entity Behavior Analytics) 进行异常行为检测，以及通过与 SOAR (Security Orchestration, Automation and Response) 集成实现自动响应正在不断推进。

现场使用案例

“通过 SIEM 的关联规则，我们检测到凌晨 2 点从境外 IP 进行 VPN 连接后，以管理员权限下载大量文件的异常模式。在告警发出后的 15 分钟内冻结了账户，将损失降到了最低。”

SIEM 的数据流

SIEM 的主要功能

主要功能包括日志收集与归一化、实时事件关联分析、告警生成、通过仪表盘进行可视化，以及用于事件调查的取证功能。例如，可以用关联规则检测“深夜进行 VPN 连接 → 以管理员权限登录 → 下载大量文件”这一连串行为，并作为疑似数据外泄发出告警。代表性产品有 Splunk 、 IBM QRadar 、 Microsoft Sentinel 等。SIEM 入门书 (Amazon)可以系统地学习。

部署场景与运维实际

中型企业引入 SIEM 时，现实的做法是先从重要度高的日志源 (防火墙、 Active Directory 、 VPN) 开始收集，再逐步扩大对象范围。由于初期阶段误报 (false positive) 频发，通常需要数月时间来调优关联规则。基于云的 SIEM (Microsoft Sentinel 、 AWS Security Hub) 可以以较低的初期投入部署，也为中小企业拓宽了选择。在数据泄露应对中，SIEM 的日志是查明原因的重要证据。

部署要点

SIEM 仅仅部署是无法发挥效果的。配备监控和处置告警的人员与流程必不可少。如果难以做到 7×24 小时全天候监控，也可以考虑使用托管 SIEM 服务。用强随机密码保护 SIEM 的管理控制台，并实施防止日志被篡改的访问控制同样重要。将事件响应的工作流程与 SIEM 的告警联动，可以大幅缩短从检测到响应的时间。安全运维指南 (Amazon)也很有参考价值。