平行地球: 10月 2013

18.10.13

Aanval是一套SIEM(Security Information and Event Management)"安全資訊與事件管理平台"，支援IDS警報管理與LOG管理。

從單一傳感器到大規模的全球性佈署，提供免費的單一傳感器版本及全球性佈署的商業版。

SIEM的主要功能:

以SANS(A Practical Application of SIM/SEM/SIEM Automating Threat Identification)這篇報告敘述，分成下列4項：

log整併：將事件記錄集中存放到伺服器上。
將威脅做關聯性連結：將多份記錄內容將以分類，辨識發動攻擊的行為。
突發事件管理（工作流程）：一旦威脅發生，隨後該進行一些工作來因應，例如透過電子郵件或簡訊通知管理者、建立故障服務單（Trouble Ticket）、自動執行Script以回應狀況，以及記錄後續反應與調整的狀態。
產生報表：基於作業效率、工作績效、法規遵循等需求，你需要可自行隨意地分析或查詢相關的記錄，或執行證據鑑識的工作。

我是用免費版跟snort搭配來看看，介面大致上是這樣：