选择正确的安全信息和事件管理软件可能会让人不知所措，SIEM开源工具有哪些？本文是一个完整的SIEM开源工具排行榜。
今天的 SIEM 市场是一个价值近 30 亿美元的产业，并且还在不断增长。Gartner 预测，到 2021 年，SIEM 技术的支出将增至近 34 亿美元。
在考虑威胁检测系统时，请找到保护组织免受各种类型网络攻击所需的工具。检查你应该如何建立你的保护。
花时间考虑成功扩展到该技术所需的准备工作。完善的实时安全系统的好处非常值得投资，下面介绍完整的SIEM开源工具合集。
什么是SIEM？
SIEM或Security information and event management是一套结合了SEM（安全事件管理）和SIM（安全信息管理）的工具，这两个系统都是必不可少的，并且彼此之间有着非常密切的联系。
SIM 是指公司收集数据的方式。在大多数情况下，数据会组合成特定格式，例如日志文件。然后将该格式放置在一个集中位置。一旦你有了数据的格式和位置，就可以对其进行快速分析。
SIM 并不是指完整的企业安全解决方案，尽管它经常被误认为是一个。SIM 仅与用于发现系统内问题的数据收集技术有关。
SEM 提供实时系统监控并就潜在问题通知网络管理员。它还可以在安全事件之间建立关联。
什么是 SIEM 软件工具？
SIEM 产品直接在它们监控的系统上运行。该软件将日志信息发送到中央门户。这通常是一个云服务器，因为它们比内部硬件具有更强大的安全监控。它们还提供一定程度的分离以增加保护。
控制台为客户端提供通过本地参数过滤的视觉辅助。网络安全事件可以通过会计日志识别、重新创建和审计。
安全信息事件管理的工作原理
SIEM 通过识别不同日志条目之间的相关性来工作。更高级的平台还包括实体和用户行为分析 (UEBA)。其他系统也可能包括 SOAR。SOAR 代表“安全编排和自动响应”。UEBA 和 SOAR 在特定情况下非常有用。
安全信息和事件管理也通过监控和记录数据来工作。大多数安全运营专家认为 SIEM 工具不仅仅是一个简单的监控和日志记录解决方案。
SIEM 安全系统包括：
- 积极制定基于情报的全球威胁清单。
- 从经过审查的情报来源收集日志。
- SIEM 解决方案整合和分析日志文件，包括补充分析数据以丰富日志。
- 在你的日志中查找安全相关性 并对其进行调查。
- 如果触发了 SIEM 规则，系统会自动通知人员。
使用 SIEM 解决方案的最佳实践
确定要保护的关键资产
组织必须做的第一件事是通过安全风险管理识别关键资产。识别导致优先排序。没有一家公司有资源平等地保护一切。优先考虑资产允许组织在预算内最大限度地提高其安全性。
优先考虑资产也有助于选择 SIEM 解决方案
了解公司的需求也有助于扩展所使用的 SIEM 平台。SIEM 技术可以帮助进行低级别的合规性工作，而无需进行大量定制。
企业可见性完全是另一个目标。这需要更高级别的部署。这个目标不需要那么多的定制。你的公司知道它的目标吗？在投资前花时间制定详细的策略。
培训员工了解 SIEM 软件
第二步是确保内部员工将 SIEM 理解为一个平台。
SIEM 技术解决方案将监控哪些系统日志文件？贵公司是否使用各种日志？你可能会在不同部门以不同方式处理数据。在 SIEM 安全帮助你之前，你必须规范化这些日志。不同的日志不允许系统发挥其最大潜力或提供可操作的报告。为什么？数据不一致。
创建扩展策略
一些公司在扩展时会复制日志记录策略。对服务器的需求最终会增加。这样做时，该公司复制了日志规则。随着时间的推移，日志文件会自我复制。如果一家公司被收购或与另一家公司合并，这有助于保存记录。
如果服务器分布在不同的时区和位置，则创建可行的策略变得更加困难。理想情况下，你将标准化组织将使用的时区。忽略此步骤可能会导致不同步的时间戳。最后，配置系统上潜在事件的分类。
确保 SIEM 解决方案满足你的需求
每个安全信息和事件管理都带有日志收集要求。例如，Syslog 日志通过外包代理连接。来自 Microsoft 的日志处理本地安装的代理。然后从远程过程调用或 Windows 管理工具集中收集日志。只有这样，它们才会提供给收集日志的设备。
执行人员负责确定每个优先资产的安全需求。这对于从 SIEM 产生可衡量和可操作的结果至关重要。
仅记录关键资产（最初）
配置完整日志环境后，可以推出次要功能。逐步管理这有助于避免错误。它还有助于在 SIEM 测试之前阻止全部承诺。
要考虑的顶级 SIEM 工具和软件解决方案
SIEM开源工具有哪些？下面列出的每个SIEM 产品的功能各 不相同。确保根据你的个人需求审查每个系统。
OSSEC
SIEM开源工具合集：开源 SIEM 非常流行。OSSEC最常用作基于主机的系统，用于入侵防御和检测。该系统通常缩写为 IDS。OSSEC 适用于 Solaris、Mac OS、 Linux 和 Windows 服务器以及 Mac OS。由于其结构，它运行良好。OSSEC 由两个组件组成：1. 主机代理和 2. 主要应用程序。
OSSEC 允许直接监控 rootkit 检测、文件完整性和日志文件。它还可以连接到邮件、FTP、Web、防火墙和基于 DNS 的 IDS 平台。你还可以同步来自主要商业网络服务的日志分析。
Snort
Snort是一种基于网络的 IDS。它离主机更远，允许它扫描和监控更多流量。作为顶级 SIEM 工具之一，Snort 可以实时分析你的网络流量。它的显示非常强大：你可以实时转储数据包、执行分析或显示数据包。
如果你的网络链路的吞吐量为 100 Gbps 或更高，则 Snort 可能是你公司的产品。该配置具有较高的相对学习曲线，但该系统值得等待。确保你的员工牢牢掌握如何使用 Snort。它具有强大的分析和过滤功能以及高性能输出插件。你可以通过多种方式使用此 SIEM 工具。
ELK
SIEM开源工具排行榜：ELK可能是市场上最受欢迎的解决方案。的ELK堆是产品从SIEM组合厂商Elasticsearch，Logstash，和Kibana。
Elasticsearch 提供了存储数据的引擎。它被认为是市场上的顶级解决方案。
Logstash 可以从任何地方接收你的日志数据。如果需要，它还可以增强、处理和过滤你的日志数据。
最后，Kibana 为你提供视觉效果。在 IT 领域，Kibana 的功能没有争议。它被认为是迄今为止业界生产的顶级开源分析可视化系统。
该堆栈构成了许多商业安全信息和事件管理平台的基础。每个程序都专门化，使整个堆栈更加稳定。这是高性能和相对简单的学习曲线的绝佳选择。
Prelude
你是否在使用各种开源工具？Prelude是将它们结合在一起的平台。它填补了 Snort 和 OSSEC 没有优先考虑的某些漏洞。
Prelude 使你能够将来自多个来源的日志存储在一个地方。它使用 IDMEF 技术（入侵检测消息交换格式）来做到这一点。你可以获得分析、过滤、关联、警报和可视化数据的能力。商业版本比开源版本更健壮。如果你需要一流的性能，那就去商业化吧。
OSSIM SIEM 解决方案
ELK 是顶级 SIEM 解决方案之一。OSSIM紧随其后。OSSIM 是 Alien Vault 统一安全管理包的开源姐妹。它有一个让人想起 Prelude的自动化测试框架。它被认为是一个很好的工具。
作为商业产品，OSSIM 更加强大。SIEM 是开源版本，适用于微部署。如果你需要大规模性能，请获取商业产品。
SolarWinds SIEM 日志管理器
你可以免费试用事件日志分析器和管理整合器。SolarWinds SIEM 系统允许你跨多个 Windows 系统查看日志。你可以过滤日志和模式。安全事件管理器使你能够评估和存储历史日志数据。
SolarWinds 是市场上最具竞争力的入门级 SIEM 安全工具之一。它提供你期望的所有核心功能，包括广泛的日志管理和其他功能。
由于详细的事件响应，它对于那些希望利用 Windows 事件日志的人来说是一个很好的工具，并且适合那些想要积极管理其网络基础设施以应对未来威胁的人。
一个不错的功能是详细而直观的仪表板设计。由于有吸引力且易于使用的显示，用户可以快速识别任何异常。
该公司提供 24/7 全天候支持作为受欢迎的奖励，因此如果你有问题，可以联系他们寻求建议。
LogFusion SIEM 软件
LogFusion是一个简单的程序。它有一个简单的用户门户和平坦的学习曲线。如果你想从单个屏幕处理远程日志记录、日志转储和远程事件通道，这是适合你的平台。
Netwrix 事件日志管理器
如果你不需要 Auditor 的所有功能，那么 Netwrix 事件日志管理器可能适合你。你可以在一个位置从整个网络获得事件整合。你可以实时创建电子邮件警报。你还具有有限的存档能力和一些警报标准过滤以进行额外测量。
McAfee企业安全管理器 SIEM
SIEM开源工具有哪些？McAfee Enterprise Security Manager是分析的最佳选择之一。它允许你使用 Active Directory 系统跨各种设备收集各种日志。
在规范化方面，McAfee 的关联引擎高效且有效地编译不同的数据源。这确保在需要注意安全事件时更容易检测到。
使用此软件包，用户可以访问 McAfee Enterprise 技术支持和 McAfee Business 技术支持。如果愿意，用户可以选择让支持客户经理每年访问他们的站点两次，建议这样做以充分利用服务。
此选择最适合寻求完整安全事件管理解决方案的大中型公司。
RSA 网络见证
RSA NetWitness提供完整的网络分析解决方案。对于较大的组织，这是可用的最广泛的工具之一。
但是，如果你正在寻找简单的东西，这不是它。该工具不是很容易使用
并且可能是耗时的设置。尽管全面的用户文档可以在设置时为你提供帮助，但这些指南并不能帮助你解决所有问题。
LogRhythm 安全智能平台
LogRhythm 可以通过多种方式提供帮助，从行为分析到日志相关性，甚至人工智能。该系统与范围广泛的设备和日志类型兼容。
当你查看配置设置时，大多数活动是通过部署管理器管理的。例如，你可以使用 Windows 主机向导来浏览 Windows 日志。这是一个功能强大的工具，可以帮助你缩小网络上发生的事情的范围。
该界面确实有一个学习曲线，但说明手册很全面并且确实有帮助。该手册提供了指向功能的超链接，以便你可以找到对你有帮助的链接。
Splunk 企业安全
SIEM开源工具合集：Splunk是世界上最流行的 SIEM 管理解决方案之一。
Splunk 魔力象限与其他象限的不同之处在于，它已将分析纳入其 SIEM 的核心。当系统寻找任何漏洞和弱点时，可以实时监控网络和机器数据。你可以定义显示警报。
用户界面在应对威胁时非常简单，资产调查器在标记恶意行为方面做得非常出色。
SolarWinds 的 Papertrail SIEM 日志管理
SIEM开源工具排行榜：Papertrail 是一种基于云的日志管理工具，适用于任何操作系统。
Papertrail 具有 SIEM 功能，因为该工具的界面包括记录过滤和排序功能，而这些功能反过来又允许你执行数据分析。
数据传输、存储和访问都受到加密保护。只有经过授权的用户才能访问存储在服务器上的公司数据，并且设置无限制的用户帐户很简单。
提供性能和异常警报，可以通过仪表板设置，并基于 Papertrail 威胁数据库中存储的检测和入侵签名。
Papertrail 还将存储你的日志数据，以供分析。
日志存储
SIEM开源工具有哪些？Logstash是可协同工作以创建完整 SIEM 系统的三种软件解决方案之一。每个应用程序都可以与用户认为合适的其他工具一起使用。每个产品都可以看作是一个 SIEM 软件，但它们一起使用形成了一个 SIEM 系统。
一起使用它们不是强制性的。所有模块都是开源的，对用户免费。
Logstash 从网络收集日志数据并将它们写入文件。你可以在 Logstash 的设置中指定它应该管理哪些类型的记录，因此你可以根据需要忽略特定的来源。
系统有自己的记录格式，Logstash文件接口可以将数据重新解释为其他形式进行传递。
SIEM开源工具合集总结
网络安全工具和威胁检测是保护数据和防止停机的必要条件。易受攻击的系统始终是黑客的目标，这就是为什么安全信息和事件管理产品已成为识别和应对网络攻击的重要方面。
该顶部SIEM产品提供的安全警报的实时分析，并且重要的是确定网络攻击。
