SOAR 与 SIEM：详细比较 - 疑惑Tech安全知识分享 - 专注于网络安全与技术系列文章的技术分享

随着网络威胁形势的扩大，组织需要更好的方法来主动检测威胁并保护其关键业务资产和数据。这就是为什么他们需要安全、编排、自动化和修复 (SOAR)以及安全信息和事件管理 (SIEM)解决方案。虽然这些网络安全工具具有一些共同和互补的功能，但它们具有不同的优势，因此不能互换使用。为了加强网络安全，组织应该了解这些差异。只有这样，他们才能有效地利用这些工具来加强防御。本文旨在详细探讨这些差异。为了您的方便，我们提供了一份执行摘要，将这些内容浓缩到下表中。

执行摘要：主要差异

SIEM

SOAR

发出警报；人员必须采取行动

摄入警报并自动响应

需要手动警报分类

自动警报分类

必须手动调整分析引擎以区分恶意威胁和良性威胁

自动区分威胁并采取相应行动

归因于分析师的警报疲劳

编排和自动化功能可减少警报疲劳

基本数据关联能力并采取单一决策来触发警报（可能是误报）

根据剧本中的决策或请求用户输入后动态提取数据

仅限于从网络、端点、云和应用程序收集日志数据

还可以吸收人类输入来做出即时决策以阻止威胁

只能发出警报；安全人员仍必须分析每个警报并决定采取行动

自动响应威胁并采取适当的措施来保护组织

该图突出显示了 SIEM 和 SOAR 之间的差异

什么是 SIEM？

SIEM 工具收集并聚合来自多个源的日志和事件数据，包括网络设备、端点设备、云解决方案和业务应用程序。然后，他们分析这些数据以提取可操作的威胁情报。如果 SIEM 平台检测到异常活动或安全问题，则会发出警报。它还生成有关安全事件和威胁的报告，然后按严重程度对它们进行排名。安全团队可以查看这些警报和报告，并在需要时采取行动，以保护企业免受对手的攻击。最好的 SIEM 平台为具有安全意识的组织提供许多好处，包括： 更快的威胁检测 SIEM 工具将多个来源的数据关联起来，并查找可能表明存在威胁的模式。他们的报告和警报使安全团队能够快速检测并响应这些威胁。 改进威胁响应时间 安全管理员可以从一个集中位置查看大量安全数据。由于他们不必在不同的地方寻找情报，因此可以快速评估威胁并加速事件响应，以减轻任何潜在的影响。 支持合规性要求 许多围绕网络安全和数据隐私的法律和行业法规及框架要求组织收紧其安全范围，特别是在处理敏感的个人、财务或医疗数据时。其中包括 PCI-DSS、HIPAA 和 SOC2 等法规以及 NIST 网络安全框架 (CSF) 等框架。借助 SIEM，组织可以利用聚合的关联数据来根据合规性要求了解和加强其安全基础设施。

SIEM 的缺点

尽管有很多好处，但 SIEM 工具本身并不能有效抵御不良行为者和安全威胁，因为它存在一些缺点。下面将对此进行探讨。 需要定期和手动调整 安全管理员必须手动调整分析引擎以忽略良性事件并对恶意事件发出警报。只有这样，他们才能不断区分“异常”和“正常活动”。因此，他们最终浪费了宝贵的时间，而这些时间本可以更好地用于对传入数据进行优先级排序和采取行动。 手动验证警报和警报疲劳 SIEM 工具从多个来源收集数据，以便组织可以更好地了解其安全状况。然而，这会生成许多警报，供安全团队进行分析、确定优先级和修复。这通常是一个困难且耗时的过程。此外，由于团队必须手动调查和验证每个警报，因此通常会导致“警报疲劳”。因此，分析师最终可能会忽略有效的警报，从而使组织更容易受到攻击。 需要与 SOC 结合使用 安全运营中心 (SOC) 由监控企业网络、调查安全事件并快速采取行动修复威胁的工具和人员组成。SIEM 工具在正式 SOC 设置中使用时最有效。原因之一是 SIEM 平台需要大量数据并生成大量警报。大多数系统不分析警报行为，也没有能力区分真正的威胁和误报。为了验证、处理和分析这些威胁，需要人工分析师。还需要人工输入来创建管理 SIEM 数据的规则并对可疑行为发出警报。最后，由于许多警报都是通用的，因此可能很难关联威胁并确定应针对特定威胁采取何种操作。同样，SOC 团队（或托管 SOC 服务）需要提出正确的问题并确定适当的响应。

SOAR 及其工作原理

SOAR 工具非常相似，因为它们也收集、聚合和分析来自不同来源（包括 SIEM）的安全数据。但它们包含 SIEM 平台中未包含的三个关键组件：

编排：自动决定从不同来源提取哪些数据，以创建更完整的安全图景
自动化：自动创建定义的威胁调查和事件响应路径
响应：采取果断行动的自动威胁响应

这些功能共同提供了一个集成的网络安全解决方案，用于事件响应周期中涉及的许多初始流程的安全操作自动化。自动化的广泛使用使企业能够响应大量警报，同时减少分析师的倦怠。

SIEM 与 SOAR：主要区别

尽管 SIEM 和 SOAR 都聚合安全数据、显示警报并帮助威胁监控和响应，但存在几个关键区别： 数据源 SIEM 工具主要从组织的网络、端点、云和应用程序收集安全日志。SOAR 工具可以从所有这些来源以及端点安全解决方案、电子邮件、威胁情报源、云安全和物联网设备警报以及漏洞扫描结果等其他来源收集数据。此外，SOAR 平台具有根据剧本中的决策提取数据的动态能力。这是 SIEM 工具无法做到的。此外，SOAR 工具可以与用户输入进行交互，并做出即时决策以阻止威胁并保护组织。例如，该工具可以检测登录尝试，并自动向与这些登录凭据关联的用户发送电子邮件，询问他们是否正在尝试登录特定系统。如果用户确认他们是尝试登录的人，SOAR 平台将停止 playbook 并不再采取进一步操作。但如果授权用户不是尝试登录系统的用户，平台将进一步分析登录尝试，并在确认帐户被盗后采取适当的措施。 发出警报与自动警报调查 SIEM 工具仅在发生威胁或安全事件时发出警报。人类分析师必须分析这些警报并确定调查和补救途径。SOAR 调查警报并自动启动补救活动，以实现更主动的网络安全。 无需调整分析引擎 SOAR 解决方案不需要人工输入来设置安全规则。此外，无需手动调整分析引擎来指导解决方案区分恶意威胁和良性威胁。

SOAR 解决了 SIEM 的弱点

SOAR 将数据收集、案例管理、警报生成和自动事件响应整合到一个集成解决方案中。它还解决了 SIEM 的许多限制。就是这样： 轻松集中地编排安全功能 借助 SOAR，可以从一个集中式界面轻松获取检测、评估和响应事件所需的所有安全信息。该工具还提供了事件响应和报告的预定义工作流程。 自动化调查和修复工作流程 SOAR 检测可疑事件、发出警报并自动调用调查和补救工作流程。它还可以独立响应低级别的安全事件，以最大限度地减少人为干预的需要。 SOAR 平台通过关联来自不同系统的数据并区分真正的威胁和误报来帮助微调警报。由于安全人员需要调查的警报较少，因此警报疲劳减少，威胁检测和响应变得更加有效。通过人工智能和机器学习主导的分析，检测和响应程序是自动化的。此外，所有威胁情报和控制都可以通过单一管理平台获得，从而减少评估、处理和采取行动警报所需的时间和精力。 可以轻松应对特定威胁的剧本 SOAR 平台利用剧本自动响应攻击向量和特定威胁。剧本中的步骤可以完全自动化，也可以配置为从平台内一键执行。 案例管理 案例管理功能使安全团队能够研究、评估和调查单个案例中的威胁。他们还可以通过轻松编排的任务更快地完成调查，例如在跟踪系统中开票。总而言之，SOAR 超越了 SIEM 的功能，可促进自适应纵深防御，帮助组织改善其安全状况。

SOAR 增强 SIEM：示例

了解 SOAR 如何解决 SIEM 弱点的最佳方法是通过示例。假设您的 SIEM 平台检测到对您的企业网络的“暴力”攻击并发出警报。就是这样。此时，您的安全团队不知道是否有不良行为者试图暴力破解密码以闯入端点（真阳性），或者是否有粗心的员工多次输错密码（误报）。团队必须手动调查警报，以了解是否确实存在安全漏洞。然后他们将采取适当的行动来遏制威胁。这就是 SOAR 发挥作用的地方。 SOAR 平台的作用不仅仅是检测事件。它还将进行调查，以了解这是真正的威胁还是误报。例如，它将尝试登录的人的 IP 地址与可疑/列入黑名单的 IP 地址和域列表进行比较。为了进行比较，它将分析和关联从各种来源获取的数据。如果它确定检测到的 IP 地址是恶意的，它会自动阻止它并阻止其访问网络。因此，当 SOAR 发现真正的威胁时，它将分析多个来源的安全数据并自动启动威胁修复。由于威胁分析、调查和补救将自动且几乎即时完成，因此安全人员无需参与。此外，与单独使用 SIEM 平台相比，您的组织可以更快、更有效地应对威胁。