没錯!我是一位基督徒，今天的主題源自聖經 以賽亞書 40:31
<但那等候耶和華的，必重新得力。他們必如鷹展翅上騰，他們奔跑卻不困倦，行走卻不疲乏。>
進入資安主題前，先來談老鷹
部分鷹可能活到四十歲就死了，但更多的鷹能夠活到七十歲！而兩者之間之所以會有30歲的差距，則全在於40歲的時候它們如何選擇！鷹活到40歲左右的時候，喙會變得彎曲脆弱，爪子不再鋒利，翅膀變得粗大沉重。
這個時候，鷹有兩個選擇:一是回到巢穴，靜靜等死，一是通過150天的漫長煎熬，在岩石上敲打它的喙，直到脫落。等到新的喙長出來，用新喙將磨鈍的爪子拔出，待新爪子長出將粗壯而沉重的羽毛從翅膀上一根根拔掉，讓新的羽毛長出來。當這150天痛苦的歷程過去，老鷹可以重新獲得30年的新生，再次翱翔在天空。
我一直覺得SIEM很老
*7年前我進入資安銷售，同事們說我們公司大約8年前即代理一款SIEM產品，在我心裡一直覺得這老產品該退休了 吧!但這7年間我賣了幾款不同廠牌的SIEM，我也發現許多客戶將它當作LOG的儲存設備而已。
*在這7年間我覺得市場趨於平淡寒冷，因為被主管機關要求的客戶大都買了。
SIEM的主要角色
簡單一句，不用華麗詞句，我認為是資安威脅分析。
如何做到威脅分析
*基本功夫 : 設備LOG要能收得進來、進來後資料要能分排分列站整齊、與惡意情資做比對、設定關聯分析、設定通報水位、設定報表。
*中級能力 : 結合網路封包、結合設備弱點掃描資料、結合設備CMDB資料一併分析。
*高檔能力 : 透過各式原廠創建的APP來增強分析能力，例如 : UBA行為分析、事件圖形化呈現及關聯圖、與其它設備整合分析的APP。
為何我認為SIEM將重新得力
我觀察市場有四個現象會讓SIEM再次展翅上騰。
*自疫情後因資安事件爆升，因此對上市上櫃公司的資安要求聲音越來越大；成立資安專責單位、專責人員、資安專業訓 練、鼓勵加入TWCERT/cc情資共享。
*ISO27001:2022新版對資安情資的收集、利用分析、通報、因應處置，這一連串的要求由SIEM來因應頗適合。
*近期金管會發佈零信任架構指引，針對零信任的第三階段:信任推斷，建議架構在SIEM平台上，做推斷及風險評分。
*製造業供應鏈的力道越來越顯著，催促著中型企業也需收集LOG、分析LOG。
如何選擇適合自己的SIEM
*基本要求: 建議選擇全球流通的廠牌，基於各大廠互相合作的利益因素，這類SIEM品牌的收納及資料正規的能力較 佳。如果無法收納進來做判別，一切都無需再談。
*一般中型企業 : 我認為以上面我所列有"基本功夫的SIEM"即足用。
*金融及大型企業: 我建議選擇"具有高檔能力的品牌"，基於未來做零信任的信任推斷，需要使用各式各樣的APP做評估，因此SIEM本身最好具有這方面的擴展能力，否則企業可能要自己寫規則或者另購其它方案做整合。
最後
*所有的產品，如果無法掌控駕馭它，也是徒勞無功。一位好的SIEM管理者，或是一家優秀的合作廠商是必要的，他們能將產品、需求、時勢做良好的結合。
*而原廠對研發的持續投入也特別重要，他們必需有藍圖；市場上穩定的品牌朝著AI分析、信任推斷在前進，然而也不難看出一些品牌卻在基礎架構反反覆覆。