SIEM与SOAR：软件评估的主要考虑因素

现在IT安全软件产品比任何时候都更加多样化，安全信息和事件管理产品也面临来自新的安全编排自动化与响应产品的竞争。

不过，随着这两种产品不断发展，它们已经变得越来越具有互补性，而不是竞争性。 SIEM提供广泛的日志支持，但需要进行精心的调试和手动修复。而SOAR则提供强大的自动化和自治能力，但要依靠连接器和剧本才能发挥作用。

[[326385]]

这两种产品都具有相似的功能，它们之间的互补性使得这两种技术可以协同工作，并扩展和改善改进企业的安全状况。当管理员在评估SIEM与SOAR时，应该考虑以下因素：

什么是SIEM?

可用的SIEM工具包括SolarWinds Security Event Manager、ManageEngine EventLog Analyzer、Splunk Enterprise Security、OSSEC、LogRhythm NextGen SIEM平台和RSA NetWitness Suite。

这些工具都声称具有强大的特性和功能，IT团队可以考虑以下SIEM功能，以简化评估过程。

(1) 日志关联和分析。日志互操作性是关键组成部分。SIEM工具必须从各种各样的数据源中提取大量日志文件，而日志文件没有统一的标准。

有些日志提供非常详细和细粒度的数据，而另一些日志则可能省略详细信息;有些来源可能会以人类可读的纯文本格式生成日志文件，而其他工具可能会以需要解析器读取的方式对数据进行编码。这里的重点是你选择的SIEM工具应该可在企业的特定IT网络中提取和解释日志。

但是，所提取的日志必须关联。读取多个日志的功能可帮助SIEM工具了解到，某个日志错误可能与网络流量或错误消息相关。SIEM工具价值的基础是解读和关联各种数据的功能。

第三个分析功能是威胁检测，这是SIEM技术的关键限制。SIEM工具必须具有关联的日志数据以识别潜在威胁。某些威胁检测是基于日志错误和相关数据自动进行，但管理员仍应部署其他管理调试和威胁情报，以定义威胁行为或跳过“误报”。

(2) 事件优先排序、通知和警报。SIEM工具检测威胁的能力至关重要，但重要的是，必须及时、有效地将这些威胁信息传达给管理员。通常，在繁忙的IT环境中的SIEM系统每秒可能产生数百甚至数千个问题。

你应该评估SIEM工具在检测到问题并确定优先级时如何发出通知。这些工具可以让管理员为触发的事件配置操作，并向安全团队成员发送实时警报。这里的目的是减少安全事件活跃的时间。减少响应时间有利于关键性能指标，例如应用程序可用性、停机时间和用户满意度等级。

(3) 报告和用户界面。SIEM工具可以提供一系列基本和自定义报告，以满足特定的业务需求。例如，报告可以跟踪指标，例如平均修复时间，并表明安全团队如何发现和修复威胁。

请确保评估UI。很多SIEM工具都提供仪表板式的UI，管理员可以对其进行配置，以显示对企业特别有价值的数据点。管理员和IT经理可能会忽略笨重、不灵活且难以使用的UI，因此请在选择SIEM软件时考虑UI的可读性和可配置性。

(4) 工作流进程。无数的问题和警报很容易导致修复措施不完善和失败的结果。现在越来越多的SIEM工具正在部署工作流进程，以帮助管理员跟踪事件进度，从监视和检测到修复。

什么是SOAR?

SOAR工具包括提供强大分析和自动化功能的产品。这些程序减少了对传统日志的依赖，并使用更多的实时数据收集来提供更快更自治的威胁响应。

这些工具提供四种主要功能：大量使用数据收集和分析;与系统和管理软件广泛集成;对事件进行自主、政策驱动的响应;以及事件分类、警报和升级。

SOAR软件可以加快事件检测和响应速度，但是智能方面仍然存在挑战。SOAR通常依靠策略和工作流程来识别事件并精心安排适当的响应。SOAR使用的策略和工作流程剧本从来都不是单一的工作。

正如SIEM管理员必须调试和调整平台以发现事件一样，SOAR管理员必须定期更新软件以处理新的或未知的威胁。

SOAR功能与产品

当前的SOAR工具包括Demisto Enterprise、LogicHub、Panaser、Resolve Systems、Respond Software等产品。此类工具通常与SIEM产品具有相似的功能，但是SOAR产品应侧重于自动化和编排功能，这些功能比SIEM产品具有更大的自治权。

(1) 自动化和编排。SOAR的主要目的是减少完成安全任务所需的时间和精力。自动化在这里起主要作用，自动化有助于减轻耗时任务。

SOAR软件可以响应安全事件，并在票据跟踪系统中自动提交票据，并调用工作流程中的任何后续步骤。由于此行为是自动的，因此人类不需要安全警报即可打开故障单并手动解决问题。

(2) 协调的工作流程。对自动化和编排的高度依赖导致对工作流程的高度依赖，以定义解决和纠正安全威胁的适当步骤顺序。工作流不仅涉及安全团队，还可以涉及企业内的多个团队。

(3) 报告和事件管理。通过对从无数不同来源收集的所有数据进行有效的整理和分类，SOAR工具可以节省时间和进行编排。

例如，该软件可以从多个集成系统中收集警报数据，然后将其合并到公共位置，以进行其他研究和调查。

SOAR产品还提供强大的事件管理功能，使管理员可以将数据和警报与相应的票据关联起来，以支持详细的调查。

(4) 支持剧本。剧本是部署工作流程的一种方式–通过概述完成某项操作所需的全部步骤。剧本会总结单个操作，管理员可以链接多个剧本以完成复杂的动作。IT团队还可以将剧本与问题跟踪系统绑定在一起，以实现针对特定工作流的特定剧本。剧本通常是共享的，并且随着威胁的发展和扩散而需要定期更新。

例如，当警报进入问题跟踪系统，可能会触发将网络流量与某些日志中的可疑IP地址隔离、搜索安全情报摘要，并检查目标IP地址是否存在任何受感染的进程或帐户。

(5) 支持集成。仅当与所有基础架构中的其他系统全面集成时，SOAR软件才能达到有效水平的省时自动化和编排。

集成通常通过连接器来处理，该连接器允许SOAR软件互操作并自动进行信息收集和响应。连接器可能是SOAR的最苛刻和最棘手的方面之一，因为各种防火墙、端点系统、应用程序日志、路由器和SIEM工具都需要连接器。对集成系统的任何更改都可能需要管理员更新连接器。