过往几年里，安然信息和事务治理(SIEM)手艺一向备受求全谴责。其复杂性和对专业办事的过度需求招致了良多埋怨，良多企业都对其摆设SIEM进行安然监控的经历感应掉看。

　　但那是之前，此刻已不合。公允地说，手艺已不再是企业难以成功摆设SIEM的启事。领先的SIEM平台已经历了“大年夜脑移植”，迁徙到特定目标的数据存储，这些数据存储可以或许供给足够的机能和范围。曾粗笨且不成靠的系统连接器和日记聚合器此刻更有效，使数据汇集变得相对简单。

　　但SIEM仍然面对着良多坚苦，所有依托基于法则的政策的手艺都是如斯。SIEM必需知道它要寻觅甚么。奇异的SIEM产品其实不会主动地发现操纵新编制或罕有缝隙的报复打击。

　　要知道，SIEM在报复打击检测中阐扬着首要感化。但要成功检测出已知乃至是未知报复打击类型，企业必需成立一套策略来寻觅其环境中的报复打击环境和指标，并延续监控这些环境。

　　那么，到底该若何成立这类策略呢？当然，等候它本身呈现其实不实际。下面我们看当作立有效SIEM政策的简单过程。

　　在合理范围内汇集所稀有据

　　假定没有汇集足够的数据，SIEM就没法进行周全阐发。所以第一步是汇集准确的数据。这意味着甚么呢？先从较着的数据开端，例如收集、安然和办事器设备日记。这些数据良多，且等闲获得。接着，从利用根本举措措施(数据库、利用)获得日记信息。当然，SIEM还需要各类其它数据源，包含身份数据、收集流量、缝隙扫描成果和建设数据。

　　对SIEM系统而言，数据越多越好。假定可以的话，汇集所稀有据。假定需要对汇集的数据进行优先排序，应当先考虑从最首要的手艺资产(即受呵护环境中的设备和措置受监管数据的设备)汇集的数据。别的还要寄望措置关头常识产权的系统。

　　构建法则

　　成立SIEM法则库是一个迭代的过程。这意味着这个过程相对较慢，需要持久的细化或调剂。良多人在开端这个过程时呈现“阐发瘫痪”，因为稀有百万种可能成立的法则。是以，我们建议起首要明白应当被定义的法则。

　　在建模过程中，从首要资产开端。将你本身放在报复打击者的角色，并开端监督你会想盗取的数据。

　　摹拟威胁：假定你是报复打击者，你会若何进侵和盗取数据呢？摹拟这类威胁，然后在SIEM东西中列举这些报复打击向量。不要忘了渗出，因为这为企业在数据被窃前提供了检测报复打击的另外一个机缘。用实际的立场进行这个过程，因为威胁模型其实不完全准确，它多是不完全或不周全的。最首要的是简单地开端威胁建模过程，这是很好的初步。完美法则：对你本身策动报复打击。有良多现成的东西可用来报复打击你的环境，你可以尝尝。然后监控你的SIEM的勾当。它是不是发出准确的警报，是不是在恰当的时候？警报是不是供给足够的信息来协助响应者弄清晰产生了甚么并采纳步履？假定谜底是不是定的，请回到第一步，完美法则。优化阈值：跟着时候的推移，你会逐步体味SIEM警报是不是过于频繁或不足够。按照这一点，恰当调剂阈值。这是一个均衡，假定阈值过于紧，警报会削减，但这更等闲错过报复打击。反之亦然，假定警报过于频繁的话。清洗、漂洗、反复：在针对特定报复打击的法则集摆设和优化后，移动到下一个报复打击向量，在建模每种威胁时，反复这个过程。

　　趁便说一句，这个过程永久不会结束。总会有新报复打击需要建模，新指标需要监测。企业必需紧密密切存眷安然新闻来体味哪一种报复打击很风行。最新威胁研究陈述(例如Mandiant公司的APT1陈述)包含明白的指标，每个企业都可以(并且应当)考虑将这些指标加进其SIEM。有了威胁谍报和周全的数据汇集环境，你就找不到借口了：此刻是时辰开端寻觅不竭出现的高级报复打击了。

　　也请记住，跟着时候的推移，你需要添加新的数据类型到SIEM，这将需要从头考虑所有的SIEM法则。例如，假定捕获收集数据包流量并发送到SIEM，这将会供给大年夜量可供阐发的新信息。假定可以或许查看实际收集流量，这会给查找某种报复打击带来甚么影响？我们可以添加哪些其他法则来更快地检测报复打击？这些都不是琐碎的标题问题。每次添加(或删除)一种数据源，查抄SIEM法则可以帮忙进步报复打击检测速度。

　　这个过程最首要的是保持一致性。SIEM其实不是“一次设置,毕生无忧”的手艺。它需要悉心的赐顾帮衬和对待--不只是此刻，而是它的全部生命周期。假定你对此有任何侥幸心理，你最终会很掉看。