DAY57 SIEM 安全資訊與事件管理 /SOC 資安營運中心

• 一. 什麼是SIEM?
  • 1.1 收集
  • 1.2 正規化
  • 1.3 關聯
• 二. SOC是什麼?

一. 什麼是SIEM?

Security Information and Event Management，SIEM
安全資訊與事件管理

集中收集各種安全紀錄，進行分析與事件關聯
並在符合條件時產生告警的平台

簡單來說就是
把原本散在不同系統的安全資訊集中起來

SIEM 做的五件事:

1. 收集
2. 正規化
3. 關聯
4. 分析
5. 告警

1.1 收集

DAY56中有提到
如果各種log檔沒有集中在一個地方
那資安人員可能就需要一台一台去查

SIEM第一步就是幫忙把這些Log收集起來一起管理

1.2 正規化

以Source address來源地址舉例
假設今天不同系統傳過來的Source address命名:
A: Source address = 10.0.0.1
B: SRC = 10.0.0.1
C: src_ip = 10.0.0.1
明明都是同一個東西但命名不一樣看起來很亂

而SIEM可以把它們都整理成:
Source IP = 10.0.0.1
這就叫日誌正規化

1.3 關聯

將每一台機器傳來的不同事件
判斷是否關聯來形成一個攻擊鏈
例如:
防火牆偵測到掃描
某電腦被登入
EDR的Powershell.exe啟動
資料庫的大量資料被查詢

這四個原本都是單獨的事件
而SIEM做事件關聯後可能變成

掃描->登入->執行->讀資料

這樣一整個攻擊鏈

所以SIEM與Log Server的不同在於
SIEM不只會 收和存Log
還會

1. 正規化
2. 關聯
3. 分析
4. 偵測
5. 告警

二. SOC是什麼?

Security Operations Center
資安營運中心/安全營運中心

一個負責:
監控、偵測、分析、調查、回應資安威脅的團隊/營運功能

SOC= 人員 + 流程 + 技術

假設SIEM 產生警報Alert

SOC分析人員 -> 判斷真假 -> 調查 -> 需要時進行事件應變

SIEM -> 產生資訊 (像監視器)
SOC -> 判斷與處理 (像監控中心裡的保安)

IPAS 115-1 Q42
某企業在導入SIEM 後，告警數量暴增，導致 SOC 人員疲勞，反而錯失真正攻擊行為。上述問題最可能源自下列哪一項日誌管理決策？
C :日誌事件告警規則設計失當

這裡就是在說SIEM在設計告警規則時設計得太過敏感
導致一堆誤報
而SOC人員在看過多告警導致疲勞後，反而錯失了真正的攻擊