安全信息和事件管理(SIEM)是一种通过以下方式检测安全问题的解决方案 集中、关联和分析整个IT网络中的数据. SIEM的核心功能包括 日志管理 与集中、安全事件检测和报告以及搜索功能. 这种组合可以帮助公司满足遵从性需求，并更快地识别和遏制攻击者.
SIEM工具通过利用三个核心功能来提供当今混合云和多云环境所需的安全监控和可见性:
If 合规 报告是一个重要的驱动因素, SIEM还应该能够协助仪表板，并确保安全策略得到执行. 不管具体的规定是什么, 您不仅需要保护客户和敏感数据, 但也要通过跟踪和监控对网络资源和关键系统的所有访问，主动向关键利益相关者和审核员展示您的方法.
SIEM工具用于提供对云服务和基础设施的更好的可见性，以及集中日志数据, 威胁检测，响应. 更有知名度，也更现代 扩展检测和响应(XDR) 功能-大多数SIEM工具应该支持:
SIEM工具有许多用例, 然而，它需要评估和研究，以确定适合您的具体需求的解决方案 安全运营中心(SOC).
正确部署时, SIEM为组织提供了可视性，他们需要在整个网络中测量降低风险，以检测已知和未知的威胁. SIEM解决方案已经存在了近二十年, 而今天的现代siem已经不太像它们最初的样子了, 日志管理对应项.
随着安全形势的发展，siem也在发展(至少其中一些已经发展)。. 当今最有效的自动化解决方案包括:
时间和准确性在这里很重要. 使用SIEM工具, 您的公司每天可能会看到数十亿个事件, 有很多信息需要筛选. 您需要一个SIEM解决方案，该解决方案可以验证需要跟踪的内容, 同样重要的是, 什么是无害行为. 您的解决方案的适应性就越强, 你就越有可能避免公关噩梦或财务危机.
这里有一个简短的清单 在SIEM解决方案中寻找什么:
即使是最先进的安全从业者，设置SIEM工具也可能是一项复杂的任务. 但是，如果操作正确，它可以消除整个网络中的盲点. 第一步包括了解现有的网络和安全堆栈，并弄清楚如何从这些点收集日志信息.
如果供应商没有提供软件即服务(SaaS)存储选项，您还需要考虑对硬件进行规划. 最后, 正在进行的步骤是编写规则以检测感兴趣的事件，并创建报告以突出显示总体网络风险的关键指标.
使用SIEM工具有效地管理日志对于网络可见性至关重要, 合规, 和可靠的 事件检测和响应. 作为安全从业人员，您需要能够对数据提出问题(通常使用结构化查询语言或SQL)以进行识别 入侵指标(ioc)，找到受影响的用户和系统，并与补救团队共享最终范围.
管理日志通常涉及索引数据并将其与其他数据集关联起来. 最终目标是为您提供一种简单的方法，从一个统一的仪表板搜索威胁.
在一般设置之后，配置警报和报告是高效使用SIEM的关键. 作为一名安全从业者, 您需要不断改进SIEM，以便为您提供网络上发生的重要安全事件.
SIEM工具的一个常见问题是，它们会产生太多未按优先级排序的警报, 超过了安全团队可以花时间去调查的范围. 这就是为什么不断调整新的和现有的规则以有效地发现相关的威胁行为是很重要的.
有很多东西要记住，也有很多东西要吸收. 但是感到不知所措并不能阻止你采取行动. 攻击的形式和规模各不相同, 了解它们的全部范围不仅仅是“拥有它们很好”.“当你有效地使用事件和检测响应时, 通过更好地了解哪些政策有效，哪些政策可能需要改进，你的公司开始走上一条精简更多任务的道路.