即使在購買SIEM軟件之前，為實(shí)施SIEM，企業(yè)仍需要做大量的準(zhǔn)備工作。SIEM要求安全團(tuán)隊(duì)而不僅僅是IT和網(wǎng)絡(luò)工程師深刻理解網(wǎng)絡(luò)拓?fù)浜蛥f(xié)議。SIEM還要求企業(yè)清楚地理解SIEM完成哪些功能。

[[132923]]

SIEM 重要功能就是記錄和監(jiān)視。幾乎所有的SIEM廠商都想向企業(yè)推薦一種“大而全”的方法，但企業(yè)部署SIEM的最佳方法是分階段進(jìn)行。日志和監(jiān)視功能的管理(不管是由企業(yè)內(nèi)部的工程師管理，還是由服務(wù)供應(yīng)商管理)，以及對SIEM警告的響應(yīng)是成功實(shí)施SIEM的最重要因素。

但成功實(shí)施的SIEM絕對不僅僅是記錄和監(jiān)視網(wǎng)絡(luò)。有很多企業(yè)并不知道其關(guān)鍵資產(chǎn)是什么，因而也不知道如何保護(hù)。

企業(yè)對員工進(jìn)行培訓(xùn)，使其正確理解和使用SIEM應(yīng)用非常重要。很多情況下，企業(yè)往往僅依靠一個SIEM操作員或分析人員。但是，只有一個受到訓(xùn)練的操作人員會遭遇單點(diǎn)失效的問題，在雇員離職或無法聯(lián)系時，如果發(fā)生了事件，就會帶來嚴(yán)重的問題。

深刻地理解SIEM的需求和目的有助于規(guī)劃實(shí)施SIEM的規(guī)模。如果企業(yè)的目標(biāo)僅僅是合規(guī)，那么其實(shí)施規(guī)模往往要小得多，但是，定制SIEM就需要付出大量工作，只有這樣才能滿足所有的合規(guī)要求。如果企業(yè)的目標(biāo)是全面的可見性，那么，SIEM的部署規(guī)模就要大得多，但為滿足需求而進(jìn)行的SIEM定制則會少很多。

提前確認(rèn)需要哪些系統(tǒng)日志文件用于監(jiān)視是非常關(guān)鍵的。有些公司要求大量的以不同方式收集和處理數(shù)據(jù)的日志。在SIEM系統(tǒng)能夠提供報告之前，各種日志都需要標(biāo)準(zhǔn)化，其目的是保持?jǐn)?shù)據(jù)的一致性。

公司往往在規(guī)模很小的時候就開始記錄日志，并隨著服務(wù)器的增長而簡單地復(fù)制日志規(guī)則，因而，日志文件就是在復(fù)制日志，或者在公司合并時，公司能夠收集不同物理設(shè)備中相似日志文件中的不同數(shù)據(jù)。此外，在不同時區(qū)擁有服務(wù)器的公司往往沒有對時區(qū)實(shí)現(xiàn)標(biāo)準(zhǔn)化就收集日志，因而在不同時區(qū)同時創(chuàng)建的日志會擁有未同步的時間戳。此時，在信息安全人員跟蹤安全事件時，這種情況就成為一種巨大的挑戰(zhàn)。

在公司能夠充分利用SIEM產(chǎn)品的好處之前，需要配置SIEM系統(tǒng)，其目的是解決時區(qū)以及在每類服務(wù)器上收集哪些數(shù)據(jù)、數(shù)據(jù)如何存放、存放到哪里以及SIEM系統(tǒng)如何分類可能發(fā)生的事件等問題，這至關(guān)重要。

SIEM 系統(tǒng)需要與公司的需要相匹配。例如，假設(shè)一家中等規(guī)模的公司要首次實(shí)施其SIEM，而公司的IT人員僅能在正常的經(jīng)營時間監(jiān)視系統(tǒng)。如果公司購買了一種可以全天候生成實(shí)時結(jié)果和警告的SIEM，卻只能在經(jīng)營時間才去監(jiān)視這些警告，那么公司就為其無法使用的特性和功能多花了錢。因而，管理層的期望有可能無法匹配實(shí)際的結(jié)果。

每個SIEM系統(tǒng)都擁有其自己的一套收集日志的需求。一般說來，Syslog系統(tǒng)日志可以發(fā)送給代理實(shí)現(xiàn)收集。微軟的日志是一般是通過安裝在本地設(shè)備上的代理來收集的，其中的日志是通過WMI 或RPC來收集的。當(dāng)然，還有許多其它類型的日志源，但Syslog系統(tǒng)日志和Windows一般占據(jù)了公司環(huán)境的大多數(shù)。

安全是一個過程而不是一種一勞永逸的戰(zhàn)術(shù)性操作。為獲得在SIEM和其它安全產(chǎn)品及服務(wù)上進(jìn)行投資的重要效果，負(fù)責(zé)信息安全的主要管理人員首先應(yīng)當(dāng)能夠確認(rèn)所有的IT 資產(chǎn)，并且知道每種資產(chǎn)所需要的安全水平是什么。

在選擇了一種SIEM產(chǎn)品后，公司不妨僅對最關(guān)鍵的資產(chǎn)先實(shí)施日志記錄。在日志環(huán)境全面配置完成后，就可以啟用其它的特性。

通常SIEM的實(shí)施會比最初預(yù)期的花費(fèi)更多。在公司低估了準(zhǔn)備實(shí)施SIEM的時間和努力時(無論是從技術(shù)方面還是從人員方面)，就會發(fā)生這種事情。此外，如果公司在開始時沒有一個詳細(xì)的SIEM方案，就很容易購買超出其實(shí)際需要的多余功能。企業(yè)調(diào)整應(yīng)用程序，使其處理所有的日志還可能花費(fèi)比預(yù)計的時間更長，從而導(dǎo)致更高昂的預(yù)期成本。此外，IT和安全人員還可能需要進(jìn)行培訓(xùn)，才能管理SIEM應(yīng)用。