使用 SIEM 和 SOAR 工具進行警報與事件管理
Alert and event management with SIEM and SOAR tools

• SIEM is a tool that collects and analyzes log data to monitor critical activities in an organization.
• SIEM process 運行過程的三個關鍵步驟：
  1. collect and aggregate date 數據收集與聚合
  2. Normalize 正規化 data 數據標準化
  3. analyzed data 數據分析

SIEM process

1. 數據收集與聚合：
   • 來源：防火牆、伺服器、路由器等。
   • 聚合：將日誌數據集中於單一位置，減少手動數據分析的需求。
   • 解析：將日誌數據轉換成便於人類解讀的格式，提取相關字段與數值。
2. 數據標準化（Normalize）：
   • 將來自多來源的數據轉化成統一結構。
   • 方便搜索與後續處理。
3. 數據分析：
   • 基於規則與條件檢測可疑活動，並發出警報。
   • 支持相關性分析（correlation），對比多條日誌事件，辨別潛在威脅模式。

• SOAR :
  • Security orchestration, automation, and response安全協同、自動化與回應
  • SOAR is a collection of applications, tools, and workflows that uses automation to respond to security events.

SIEM 工具比較