实践SIEM

Posted on | In | Visitors

SIEM = Security Information and Event Management（安全信息与事件管理）。

简单理解：

SIEM 是企业的安全日志分析与告警中心。它把服务器、应用、数据库、WAF、防火墙、EDR、Kubernetes 等系统的安全事件集中起来，通过规则和关联分析发现潜在攻击。

如果说 EDR 是服务器上的安全监控，XDR 是跨系统的威胁检测与响应，那么 SIEM 更像企业安全运营中心（SOC）的大脑和数据分析平台。

一、SIEM 的核心工作原理

安全数据来源

WAF · Firewall · EDR · Kubernetes · IAM · 数据库 · 应用日志

SIEM 平台

数据采集

Collect

解析与标准化

Normalize

存储与检索

Search

规则与关联分析

Correlate

安全告警

事件调查

合规审计

SIEM 通常有五项核心能力：

  1. 日志集中采集：接收来自不同安全设备、应用和云平台的数据。
  2. 日志标准化：将不同格式的数据统一成 IP、用户、时间、事件类型等字段。
  3. 关联分析：将多个独立事件关联起来，识别潜在攻击链。
  4. 安全告警：根据规则、阈值和行为异常生成告警。
  5. 安全审计：提供事件追溯、报表和合规证据。

二、举个实际例子

假设你们的支付平台发生一次 Web 注入攻击。

时间 系统 安全事件
10:00 Akamai WAF 某 IP 发起大量注入请求
10:01 Nginx 同一 IP 的请求出现异常响应
10:02 NeuVector Web 容器执行异常 Shell
10:03 EDR 发现可疑文件和进程
10:04 Firewall 容器连接未知公网 IP

如果没有 SIEM，安全人员需要分别登录五个平台调查。

有了 SIEM，就可以配置关联检测规则：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
同一个来源 IP 触发 WAF 攻击告警
          AND
对应 Pod 出现异常进程
          AND
该 Pod 连接未知公网 IP
          │
          ▼
     高危安全事件
          │
          ▼
     通知安全负责人
          │
          ▼
     启动事件调查

注意，SIEM 不会天然理解这些事件的关系，需要完成数据标准化、资产关联和检测规则配置。

三、SIEM、EDR、XDR、SOAR 的区别

类型 主要解决什么问题 典型产品
EDR 服务器或终端是否被攻击 Microsoft Defender for Endpoint、Wazuh
XDR 多个安全系统的告警是否属于同一次攻击 Microsoft Defender XDR、Wazuh
SIEM 如何集中分析、关联、检索和审计安全事件 Wazuh、Splunk、Microsoft Sentinel
SOAR 发现攻击后如何自动化响应 Shuffle、TheHive 配合自动化工具
NDR 网络中是否存在异常流量和攻击行为 Zeek、Suricata 等检测组件

它们并不是互斥的。现代安全平台经常同时提供 SIEM、XDR 和 SOAR 的部分功能。

四、有哪些开源 SIEM 方案？

方案 核心特点 适合场景
Wazuh SIEM + 端点检测 + 合规 企业综合安全监控
Security Onion SIEM + 网络威胁检测 + 威胁狩猎 SOC、安全调查
OpenSearch Security Analytics 基于 OpenSearch 的安全分析、检测规则 已有 OpenSearch 基础设施
Graylog Open 日志管理、搜索、告警 日志集中管理，部分 SIEM 能力需额外建设

如果从开源成熟度、部署成本和综合功能考虑，Wazuh 是一个比较适合入门和企业落地的选择。

五、对于 Onerway，SIEM 应该怎么建设？

考虑到你们已经有 Kubernetes、Azure MySQL、Akamai WAF，以及支付业务应用，我建议：

推荐的安全日志架构

安全数据源

Akamai WAF / Azure Audit / K8s Audit / NeuVector / EDR / 应用安全日志

采集与标准化层

Agent / API / Syslog / Event Pipeline

Wazuh SIEM + OpenSearch

检测规则 · 事件关联 · 告警 · 安全检索

安全运营 / SOC

告警分级 · 调查取证 · 响应处置 · 审计报告

有两个架构原则特别重要：

第一，不要把 SIEM 当作普通日志平台。

普通应用日志、Debug 日志、业务访问日志可以放在 Loki；安全事件、身份认证、权限变更、敏感数据访问和关键审计日志进入 SIEM。两边可以保留关联查询能力。

第二，不要只关注日志存储，要关注检测能力。

一个 SIEM 平台即使收集了每天 10TB 日志，如果没有有效的检测规则、关联分析、告警分级和响应流程，也很难及时发现攻击。

对于支付公司，我建议优先建设以下检测场景：Web 攻击与容器异常关联、生产数据库异常访问、特权账号异常登录、敏感配置变更、支付接口异常调用、可疑出站通信。

总结：EDR 负责看机器，NeuVector 负责看容器，SIEM 负责汇总和分析安全事件，XDR 负责跨域检测和响应，SOAR 负责自动化处置。 这几个组件组合起来，才是比较完整的企业安全运营体系。