什麼是資安事件管理（SIEM）
把防火牆、伺服器、EDR、雲端服務、驗證基礎設施等的日誌集中到一處，統一格式與時間，以組合多個事件的規則（關聯分析）偵測疑似攻擊並以警示呈現的機制。也用於調查時搜尋日誌，以及依法規要求長期保存日誌。它是資安監控中心（SOC）分析人員用於監控的核心工具之一。
日文名稱: SIEM(セキュリティ情報イベント管理)
「資安事件管理（SIEM）」出現在1領域的2道練習題中（網路攻擊與防禦實務等）。
這個名詞所屬的領域: 網路攻擊與防禦實務
關聯分析的例子
只看單一日誌無法判斷的事件，組合起來後攻擊的嫌疑就會升高。例如把「同一帳號在短時間內多次登入失敗，緊接著從不尋常的國家登入成功，接著又下載了大量檔案」這樣的流程，整合成一則警示。
作為前提的日誌管理
偵測與調查的品質取決於所收集日誌的品質。前提是完整收集必要的日誌、以NTP同步所有設備的時鐘，並以不易被竄改的形式保存一定期間（例如法規或合約要求的期間）。日誌量越大成本也越高，因此要依目的決定收集哪些日誌。
警示的調校
規則太廣會產生大量誤報，成為分析人員漏看真正攻擊的原因（警示疲勞）。依環境調校規則，並以SOAR把例行的確認自動化，讓分析人員能專注於重要的警示。
練習資安事件管理（SIEM）的題目
在資安監控體制中使用的SIEM、SOAR、SOC，其角色的正確組合是下列何者？
- ASIEM是記錄端點行為的軟體，SOAR是加密通訊的設備，SOC是賦予弱點的識別編號
- BSIEM是自動執行回應程序的機制，SOAR是收集並分析各設備日誌的機制，SOC是處理產品弱點的開發團隊
- CSIEM是收集多台設備的日誌並做關聯分析的機制，SOAR是自動執行回應程序（劇本）的機制，SOC是運用它們進行監控的組織
查看答案與解析
正確答案：C. SIEM是收集多台設備的日誌並做關聯分析的機制，SOAR是自動執行回應程序（劇本）的機制，SOC是運用它們進行監控的組織
SIEM（Security Information and Event Management）把防火牆、伺服器、EDR、雲端等的日誌集中到一處並統一時間，以組合多個事件的規則（關聯分析）把疑似攻擊以警示呈現。SOAR（Security Orchestration, Automation and Response）針對警示，以劇本自動執行收集資訊、隔離端點、停用帳號等既定程序，減輕分析人員的負擔。SOC（資安監控中心）是運用這些機制進行監控、分析警示、判定是否為資安事件並通報的組織，也常採24小時體制。對SOC判定之資安事件的回應，多由CSIRT主導進行。
某資安監控中心（SOC）的SIEM每天發出1440則警示，警示在一天中平均發生。SOAR的自動處理會在不經分析人員確認的情況下處理75%的警示，其餘每則警示平均需要分析人員10分鐘的作業。假設分析人員可以不休息地作業，為了跟上警示發生的速度處理警示，隨時必須配置的分析人員最少人數是下列何者？
- A2人
- B3人
- C10人
查看答案與解析
正確答案：B. 3人
分析人員要確認的警示為 1440 × (1 − 0.75) = 360則/日，每小時為 360 ÷ 24 = 15則。一名分析人員每小時能處理 60 ÷ 10 = 6則，因此所需人數為 15 ÷ 6 = 2.5人，無條件進位為3人。若沒有SOAR的自動處理，每小時會有60則，需要 60 ÷ 6 = 10人。實際上還有休息與其他業務，警示數量也會因時段而變化，因此要在使用率上保留餘裕來決定人數。
常見問題
SIEM與SOAR有何不同？
SIEM是收集並分析日誌、找出疑似攻擊的機制。SOAR則是針對找到的警示，自動執行收集資訊、隔離端點等既定程序（劇本）的機制。也有同時提供兩種功能的產品。
導入SIEM後，攻擊會被自動阻止嗎？
SIEM本身主要用於偵測與調查，並不會阻斷通訊。阻止攻擊是SOAR的自動回應、EDR與防火牆等設備，以及做出判斷的人員的角色。
解析中的「資安事件管理（SIEM）」
SIEM（Security Information and Event Management）把防火牆、伺服器、EDR、雲端等的日誌集中到一處並統一時間，以組合多個事件的規則（關聯分析）把疑似攻擊以警示呈現。
在資安監控體制中使用的SIEM、SOAR、SOC，其角色的正確組合是下列何者？
出現「資安事件管理（SIEM）」的題目（2題）
出現這個名詞的比較
相關名詞
資安監控中心 端點偵測與回應（EDR） 入侵指標（IoC） 入侵偵測系統（IDS） 供應鏈攻擊 軟體物料清單（SBOM） 資安事件應變 零信任 滲透測試 網頁應用程式防火牆（WAF）