SIEM5.0 中显示不同类别日志

  在OSSIM系统SIEM事件收集中，常会收到重复日志，例如，攻击者对网络上的某主机进行端口扫描，在每次探测中，系统会创建单独的事件，每扫描一次IDS很可能会创建单独的日志，而这些大量重复事件的源IP和源端口在每个事件中不同，而目标IP地址（被攻击的服务器）在每个事件中基本相同，这些重复的数据对安全人员意义不大，管理员需要看到具有不同特征的事件序列。更重要的是对某个事件重复了多少次，频率是多少，路径为Dashboaards-->Overview-->Security，如下图所示

OSSIM系统会根据日志的特征码进行自动分类，还可以统计源地址和目标地址的数量，值得注意的是，源IP地址不足以确保唯一性，很可能是伪造的，而目标地址通常在攻击期间保持不变，这有助于安全人员结合特征码来分析故障。如下图所示，截图列举了OSSIM系统中的SIEM消除重复事件的结果，默认按特征码分组。

  在SIEM控制台中具有强大的筛选功能，可以按照不同事件，不同的地址（源地址，目的地址），不同的国家显示，如下图。注意在选择grouped时，系统会对alienvault_siem库中acid_event表进行select操作，当某类事件数量达到千万级别时，等待时间比较长。

  

  我们可以举一个简单的例子：时间通过IP和目的端进行分组，显示如下，并右击IP地址，可以看到很多的选项，例如：来自这个主机的所有事件，流量信息等等。

点击来自这个主机的所有事件，显示如下：

  我们选取131的IP，鼠标左键点击，显示结果如下：

  这里显示了非常详细的信息，这些信息当中主要是针对检测公网地址才起作用。在这张图中，我们可以看到有一个External栏目，在这个栏目中，我们可以找到很多关于IP的背景资料，这些资料来自于不同的组织对这个IP检测的测评结果，对我们判断一个陌生IP的信誉度，有非常重要的帮助。

关于SIEM中显示不同类别日志小编就讲解到这里了。

参考书目：开源安全运维平台Ossim最佳实战，李晨光著。