搜索

[10965] 2017-01-24_企业选购或厂商优化SIEM产品时应考虑哪些因素？

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2017-01-24_企业选购或厂商优化SIEM产品时应考虑哪些因素？ 企 业 选 购 或 厂 商 优 化 S I E M 产 品 时 应 考 虑 哪 些 因 素 ？ C a r r i e _ s p i n f o   F r e e B u f   2 0 1 7 - 0 1 - 2 4 引 言 引 言 引 言 引 言 S I E M （ 安 全 信 息 与 事 件 管 理 ） 在 （ 安 全 信 息 与 事 件 管 理 ） 在 S O C 操 作 中 心 中 扮 演 着 十 分 重 要 的 角 色 ， 可 以 说 它 是 操 作 中 心 中 扮 演 着 十 分 重 要 的 角 色 ， 可 以 说 它 是 S O C 的 心 脏 ， 能 够 收 集 事 件 并 按 照 配 的 心 脏 ， 能 够 收 集 事 件 并 按 照 配 置 好 的 规 则 进 行 事 件 分 析 ， 同 时 向 安 全 分 析 师 发 出 系 统 入 侵 等 异 常 行 为 的 告 警 ， 并 执 行 置 好 的 规 则 进 行 事 件 分 析 ， 同 时 向 安 全 分 析 师 发 出 系 统 入 侵 等 异 常 行 为 的 告 警 ， 并 执 行 S O C 程 序 。 程 序 。 本 文 旨 在 帮 助 企 业 评 估 并 采 购 合 适 的 S I E M 产 品 ， 搭 建 他 们 自 己 的 S O C 操 作 中 心 。 以 下 整 理 的 内 容 会 对 S I E M 的 P O C （ 概 念 证 明 ， 可 理 解 为 产 品 测 试 ， 证 实 产 品 的 各 项 优 异 性 能 ） 产 生 一 定 帮 助 。 文 章 主 要 介 绍 购 买 S I E M 产 品 的 基 本 思 路 ， 帮 助 客 户 获 得 最 符 合 企 业 安 全 需 求 的 S I E M 技 术 。 当 然 提 供 S I E M 服 务 （ S a a S ） 的 安 全 公 司 也 能 从 中 获 益 ， 根 据 所 列 要 点 提 高 产 品 的 客 户 满 意 度 ， 扩 大 市 场 占 有 率 。 摘 要 摘 要 摘 要 摘 要 一 些 客 户 和 新 兴 公 司 往 往 会 忽 视 进 行 S I E M 概 念 证 明 （ P O C ） 时 的 很 多 细 节 ， 一 些 安 全 厂 商 便 利 用 这 一 点 在 服 务 和 部 署 环 节 中 收 取 高 额 费 用 。 因 此 进 行 S I E M 的 概 念 证 明 时 我 们 应 该 记 住 一 些 重 要 的 参 数 、 要 点 和 功 能 。 用 户 首 先 应 该 认 真 了 解 自 身 环 境 ， 确 定 S I E M 安 装 的 实 际 要 求 ， 并 对 比 不 同 S I E M 的 各 项 功 能 。 只 有 完 成 以 上 步 骤 ， 才 能 够 作 出 相 对 完 美 的 采 购 选 择 。 本 文 共 包 含 4 个 部 分 ： 架 构 概 述 、 S I E M 功 能 、 成 本 审 核 及 其 它 服 务 。 我 们 可 以 将 下 图 称 之 为 “ S I E M   P O C 检 查 表 ” ： 架 构 总 览 架 构 总 览 架 构 总 览 架 构 总 览
这 是 描 述 某 系 统 中 关 键 元 素 的 图 表 ， 包 括 通 信 方 式 、 内 外 部 系 统 连 接 、 集 成 及 美 学 等 方 面 。 具 体 有 硬 件 、 软 件 和 数 据 库 （ 存 储 库 ） 、 事 件 流 、 其 它 应 用 程 序 支 持 等 详 细 结 构 模 式 ， 以 及 P O C 中 与 G U I （ 图 形 用 户 界 面 ， 也 称 图 形 用 户 接 口 ） 相 关 的 重 要 事 项 。 硬 件 概 述 硬 件 概 述 了 解 S I E M 架 构 中 的 设 备 类 型 ， 并 根 据 相 关 引 擎 E L M 即 日 志 收 集 器 等 的 功 能 列 出 设 备 清 单 。 支 持 性 文 档 ， 说 明 是 否 需 要 日 志 收 集 器 安 装 程 序 、 控 制 台 安 装 程 序 等 。 软 件 概 述 软 件 概 述 列 出 软 件 解 决 方 案 的 最 低 应 用 / 软 件 要 求 。 列 出 检 查 清 单 ， 以 是 / 否 的 形 式 确 定 所 需 要 求 。 数 据 库 或 存 储 库 概 述 数 据 库 或 存 储 库 概 述 明 确 S I E M 的 数 据 库 或 存 储 库 类 型 ， 比 如 像 O r a c l e 、 S Q L 、 S A N 、 D A S 、 D W H 等 内 外 部 存 储 库 以 及 分 区 类 型 。 接 口 类 型 （ 接 口 类 型 （ G U I ） 概 述 ） 概 述 确 定 三 种 类 型 的 可 用 控 制 台 ： 网 站 控 制 台 管 理 控 制 台 疑 难 解 答 控 制 台 内 置 工 具 功 能 概 述 内 置 工 具 功 能 概 述 列 出 清 单 说 明 编 写 解 析 器 或 测 试 环 境 时 是 否 使 用 内 置 或 第 三 方 工 具 。 比 较 不 同 S I E M 功 能 时 这 招 很 管 用 。 架 构 流 程 图 概 述 架 构 流 程 图 概 述 大 型 企 业 的 架 构 图
确 定 带 宽 消 耗 ： 在 设 备 内 测 量 。 S I E M 功 能 功 能 S I E M 功 能 功 能 我 们 将 在 本 节 中 根 据 以 下 参 数 深 入 对 比 S I E M 的 一 些 重 要 功 能 。   默 认 解 析 器 数 量 默 认 解 析 器 数 量 从 S I E M 供 应 商 处 获 得 默 认 解 析 器 的 数 量 和 相 关 文 档 ， 并 进 行 比 较 。 数 据 包 抓 取 数 据 包 抓 取 这 是 某 些 S I E M 具 备 的 最 佳 功 能 。 您 可 以 比 较 目 标 S I E M 是 否 支 持 此 功 能 。 数 据 包 大 小 不 仅 是 一 个 常 规 的 原 始 日 志 。 若 该 S I E M 采 用 数 据 包 的 方 式 ， 那 么 请 务 必 考 虑 存 储 空 间 ， 详 询 供 应 商 。 执 行 报 告 的 时 间 执 行 报 告 的 时 间 精 确 审 查 每 日 、 每 周 、 每 月 报 告 的 执 行 时 间 。 日 志 压 缩 比 日 志 压 缩 比 确 认 是 否 支 持 日 志 压 缩 以 及 压 缩 的 百 分 比 。 M c A f f e e   I n t e l   N i t r o 的 压 缩 功 能 最 为 出 色 。 数 据 时 效 数 据 时 效 就 在 线 和 离 线 数 据 （ 每 天 ） 的 数 据 保 留 策 略 ， 您 可 以 了 解 并 比 较 恢 复 1 周 离 线 数 据 所 需 的 时 间 。
备 份 和 恢 复 期 间 的 系 统 性 能 备 份 和 恢 复 期 间 的 系 统 性 能 计 算 大 约 数 值 。 在 某 个 精 确 时 间 段 进 行 备 份 和 恢 复 时 ， C P U 和 内 存 利 用 率 的 百 分 比 。 基 于 角 色 的 配 置 和 访 问 控 制 基 于 角 色 的 配 置 和 访 问 控 制 确 定 是 否 具 有 M S S P （ 多 序 列 式 屏 幕 ） 功 能 。 向 特 定 团 队 或 客 户 显 示 某 些 数 据 （ 仅 防 火 墙 ） 。 网 络 建 模 网 络 建 模 通 过 导 入 N e s s u s 报 告 以 及 一 些 具 有 发 现 功 能 的 工 具 ， 或 者 利 用 自 身 导 入 格 式 （ C S V 、 x l s x 、 t x t ） 的 方 式 来 确 定 网 络 建 模 是 否 可 行 。 资 产 建 模 资 产 建 模 通 过 导 入 N e s s u s 报 告 以 及 一 些 具 有 发 现 功 能 的 工 具 ， 或 者 利 用 自 身 导 入 格 式 （ C S V 、 x l s x 、 t x t ） 的 方 式 来 确 定 资 产 建 模 是 否 可 行 。 警 报 的 严 重 性 与 警 报 升 级 警 报 的 严 重 性 与 警 报 升 级 了 解 更 多 关 于 内 部 事 件 管 理 系 统 以 及 与 外 部 事 件 管 理 系 统 集 成 的 效 率 。 日 志 收 集 层 的 日 志 过 滤 日 志 收 集 层 的 日 志 过 滤 了 解 减 少 干 扰 事 件 的 功 能 ， S I E M 管 理 员 应 避 免 接 收 器 接 收 干 扰 流 量 ， 只 允 许 关 联 重 要 事 件 。 观 测 表 （ 动 态 观 测 表 （ 动 态 / 静 态 ） 静 态 ） 确 认 它 是 否 支 持 静 态 观 测 表 。 了 解 动 态 观 测 表 的 工 作 效 率 ， 如 通 过 在 观 测 表 中 确 定 的 触 发 事 件 来 更 新 条 目 。 周 期 性 仪 表 盘 周 期 性 仪 表 盘 这 也 是 S I E M 厂 商 会 提 供 的 强 大 功 能 之 一 ， 能 够 帮 助 第 一 阶 段 的 监 控 分 析 师 有 效 地 检 测 到 系 统 入 侵 等 安 全 事 件 。 S I E M 管 理 员 确 定 在 指 定 时 间 间 隔 内 旋 转 的 特 定 仪 表 盘 ， 以 便 分 析 人 员 更 好 地 实 施 监 控 。 例 如 ： 前 1 0 个 攻 击 者 源 I P 、 前 1 0 个 目 标 I P 、 前 5 个 故 障 用 户 名 、 检 测 到 的 S y m a n t e c 反 病 毒 事 件 等 等 。 日 志 导 出 格 式 日 志 导 出 格 式 了 解 S I E M 支 持 的 文 件 导 出 格 式 ， 如 C S V 、 P D F 、 t x t 、 H T M L 等 。 警 报 机 制 警 报 机 制 就 警 报 机 制 进 行 比 较 ， 如 对 主 要 的 具 体 事 件 通 过 S I E M   G U I 或 控 制 台 、 电 子 邮 件 以 及 S M S （ 手 机 短 信 ） 等 方 式 进 行 告 警 。 最 新 的 S I E M 增 加 了 “ 报 警 蜂 鸣 ” 的 提 醒 功 能 ， 从 而 对 高 优 先 级 或 特 定 事 件 / 相 关 规 则 作 出 快 速 响 应 。 模 板 自 定 义 （ 报 告 模 板 自 定 义 （ 报 告 / 电 子 邮 件 ） 电 子 邮 件 ）
确 定 模 板 自 定 义 是 否 是 S I E M 的 内 置 功 能 ， 并 了 解 它 是 如 何 提 供 报 告 和 电 子 邮 件 的 模 板 自 定 义 （ 报 告 优 先 级 规 则 ） 功 能 的 。 报 告 生 成 器 报 告 生 成 器 大 多 数 S I E M 都 具 有 此 内 置 功 能 。 原 始 日 志 报 告 生 成 原 始 日 志 报 告 生 成 验 证 S I E M 是 否 具 有 根 据 定 义 条 件 生 成 原 始 日 志 报 告 的 功 能 。 S I E M 设 备 的 审 计 日 志 报 告 设 备 的 审 计 日 志 报 告 确 认 S I E M 是 否 具 有 获 取 所 有 S I E M 审 核 日 志 的 有 效 方 式 ， 达 到 监 控 S I E M 管 理 员 活 动 的 目 的 。 该 方 法 在 调 查 S I E M 管 理 员 未 发 现 的 活 动 时 非 常 管 用 。 报 告 格 式 报 告 格 式 确 定 报 告 格 式 并 进 行 比 较 （ E x c e l 、 H t m l 、 c s v 、 d o c 、 p d f ） 。 报 告 与 报 告 与 S I E M 健 康 检 查 仪 表 盘 （ 应 实 现 全 自 动 化 ） 健 康 检 查 仪 表 盘 （ 应 实 现 全 自 动 化 ） 应 比 较 E P S 、 R A M - C P U 利 用 率 、 存 储 统 计 和 设 备 之 间 的 连 接 以 及 许 多 其 他 报 告 和 仪 表 盘 的 功 能 。 基 于 角 色 的 默 认 报 告 基 于 角 色 的 默 认 报 告 管 理 、 L 1 和 L 2 级 等 基 于 角 色 的 报 告 。 例 如 ， 网 络 操 作 中 心 团 队 将 获 得 配 置 防 火 墙 的 日 志 报 告 （ 策 略 更 改 、 执 行 的 命 令 以 及 管 理 员 级 别 的 活 动 等 ） 。 基 于 会 话 的 事 件 报 告 （ 基 于 会 话 的 事 件 报 告 （ p 2 p 和 和 V P N ） ） 检 查 其 是 否 具 有 显 示 端 到 端 可 见 性 的 默 认 会 话 报 告 （ 用 户 /   V P N 会 话 等 ） 中 央 策 略 管 理 中 央 策 略 管 理 检 查 S I E M 是 否 具 有 从 单 个 控 制 台 在 所 有 S I E M 设 备 上 推 送 策 略 的 功 能 。 故 障 转 移 设 备 配 置 的 复 制 故 障 转 移 设 备 配 置 的 复 制 检 查 S I E M 是 否 具 有 自 动 将 配 置 复 制 到 故 障 转 移 设 备 的 功 能 。 该 功 能 能 够 节 省 管 理 员 时 间 ， 并 立 即 展 开 设 备 的 故 障 转 移 工 作 。 成 本 审 核 成 本 审 核 成 本 审 核 成 本 审 核 在 本 节 中 ， 我 们 将 了 解 维 护 成 本 的 组 成 部 分 。 下 图 展 示 了 影 响 成 本 的 因 素 。
D B   / S t o r a g e /   D A S   /   N A S 等 等 确 认 S I E M 的 内 置 存 储 库 类 型 以 及 存 储 空 间 （ 专 有 的 或 外 部 的 ， 如 O r a c l e 、 S Q L 等 ） 。 确 认 其 与 外 部 存 储 的 兼 容 性 ， 以 防 碰 到 庞 大 存 储 需 求 的 情 况 ， 如 D A S 、 N A S 、 H a d o o p 等 。 许 可 标 准 许 可 标 准 许 可 是 决 定 / 影 响 S I E M 总 成 本 的 主 要 参 数 。 成 本 可 能 取 决 于 需 要 集 成 的 设 备 数 量 、 E P C 数 量 或 需 要 合 并 的 资 产 数 量 、 用 户 数 量 或 其 他 标 准 （ 若 适 用 ） 。 专 业 服 务 专 业 服 务 应 包 含 以 下 内 容 ： 合 规 数 据 包 解 析 器 开 发 S I E M 管 理 和 事 件 处 理 培 训 项 目 有 关 S I E M 设 备 高 优 先 级 问 题 的 解 决 方 案 现 成 设 备 与 S I E M 的 集 成 其 它 服 务 硬 件 解 决 方 案 硬 件 解 决 方 案 请 确 认 以 下 两 点 内 容 ： 所 需 设 备 的 数 量 和 类 型 所 需 的 支 持 性 软 件
软 件 解 决 方 案 软 件 解 决 方 案 基 于 架 构 计 算 软 件 解 决 方 案 的 最 低 系 统 要 求 其 它 所 需 软 件 G T I （ 迈 克 菲 全 球 威 胁 情 报 解 决 方 案 ） （ 迈 克 菲 全 球 威 胁 情 报 解 决 方 案 ）   F e e d s 实 时 更 新 服 务 实 时 更 新 服 务 确 认 G T I   F e e d 服 务 是 否 包 含 在 S I E M 总 价 中 ， 还 是 需 要 额 外 购 买 其 它 服 务 或 功 能 其 它 服 务 或 功 能 其 它 服 务 或 功 能 其 它 服 务 或 功 能 本 节 中 ， 我 们 将 介 绍 S I E M 服 务 中 的 其 它 项 目 。 补 丁 管 理 补 丁 管 理 稳 定 的 补 丁 发 布 后 ， 补 丁 安 装 是 升 级 S I E M 设 备 最 重 要 的 方 面 。 了 解 供 应 商 补 丁 程 序 的 发 布 频 率 、 修 补 程 序 改 进 的 内 容 以 及 是 否 稳 定 等 信 息 ， 并 作 出 比 较 。 供 应 商 指 南 供 应 商 指 南 比 较 和 S I E M 共 同 提 供 给 客 户 的 文 档 内 容 ： 管 理 疑 难 解 答 安 装 和 配 置 用 户 手 册 最 佳 实 践 备 份 和 恢 复
其 他 项 目 设 备 通 信 端 口 列 表 设 备 通 信 端 口 列 表 列 出 设 备 之 间 进 行 内 部 通 信 所 需 端 口 的 详 细 信 息 知 识 库 知 识 库 确 认 S I E M 是 否 具 有 定 义 事 件 处 理 进 程 的 模 板 。 默 认 默 认 / 现 成 服 务 现 成 服 务 如 果 S I E M 供 应 商 要 求 支 付 默 认 服 务 的 费 用 ， 客 户 应 要 求 提 供 支 持 性 文 档 。 支 持 协 议 支 持 协 议 供 应 商 应 提 供 以 下 信 息 ： 支 持 性 文 档 类 型 在 线 自 助 服 务 （ 论 坛 或 群 组 ） 后 记 后 记 后 记 后 记 本 文 主 要 介 绍 了 比 较 多 样 S I E M 产 品 时 应 考 虑 的 各 项 因 素 ， 选 择 两 个 最 好 的 S I E M 产 品 进 行 比 较 ， 并 根 据 公 司 预 算 以 及 行 业 标 准 最 终 确 定 选 用 哪 一 个 产 品 。 当 然 S I E M 厂 商 也 能 够 根 据 所 列 项 目 对 比 自 己 产 品 中 不 足 的 地 方 ， 不 断 进 行 优 化 。 * 参 考 来 源 ： i n f o s e c i n s t i t u t e ， F B 小 编 C a r r i e 编 译 ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ）  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理