MDR、MSSP 和 MDR 之间的主要区别 SIEM：哪一个适合您？
了解安全信息管理和事件管理之间的主要区别（SIEM）、托管安全服务提供商 (MSSP) 和托管检测与响应 (MDR)。
除了层出不穷的监管规定和已发布的漏洞列表之外，现实世界的网络安全还可以呈现出令人眼花缭乱的各种形式：安全信息和事件管理之间的差异就体现了这种多样性（SIEM）、托管安全服务提供商 (MSSP) 和托管检测与响应 (MDR)。
它们代表了种类繁多的工具、预算和内部资源投入。 SIEM从完全内部部署到MSSP的全面网络安全外包，本指南对MDR、MSSP和 SIEM 以及如何选择最适合你的产品。
除了层出不穷的监管规定和已发布的漏洞列表之外，现实世界的网络安全还可以呈现出令人眼花缭乱的各种形式：安全信息和事件管理之间的差异就体现了这种多样性（SIEM）、托管安全服务提供商 (MSSP) 和托管检测与响应 (MDR)。
它们代表了种类繁多的工具、预算和内部资源投入。 SIEM从完全内部部署到MSSP的全面网络安全外包，本指南对MDR、MSSP和 SIEM 以及如何选择最适合你的产品。
亲身体验人工智能驱动的安全！
探索 Stellar Cyber 的尖端 AI，实现即时威胁检测和响应。立即安排您的演示！
SIEMMSSP 或 MDR：关键定义和角色
在深入研究选择哪种工具之前，至关重要的是确定每个人的角色以及他们在企业安全中所处的更广泛的环境。
安全信息和事件管理（SIEM)
SIEM 定义： 当网络中的设备相互交互时，它们会单独记录各自的操作。这些操作以日志文件的形式存储在本地。这些文件构成了组织安全的全景：每个文件都代表网络交互中的一个单独的数据点。按时间顺序排列时，它们会构建出网络事件的图景，例如数据交易、错误以及最重要的安全漏洞。
SIEM 工具 这就是网络安全团队实现这种更全面视角的方式：它是一个中央平台，可以收集、关联和分析来自整个网络的日志数据——数据源越多，最终呈现的画面就越清晰。而基准数据源则用于…… SIEM 解决方案包括网络设备、基础设施和应用程序，而最重要的数据通常来自其他安全技术，例如防火墙和入侵检测工具。 SIEM 它通过在设备上安装代理程序和在网络上安装传感器来收集这些信息，这些代理程序和传感器会被动地收集生成的日志。这种方式带来的可见性不容低估：这正是它如此重要的原因。 SIEM 被认为是大多数组织安全运营中心的核心（SOC）。
然后，所有这些信息都会被分析。 SIEM其内部引擎会将用户、事件类型和 IP 地址分组，形成各自的正常行为基线：任何偏离此基线的行为都可以被识别并呈现给分析人员。大多数 SIEM 工具通过向团队发送警报以进行人工调查来实现这一点。 下一代 SIEM （NG-SIEM） 工具 在此基础上，它还会进行额外的分析，将行为偏差与产生这些偏差的背景进行交叉比对：这可以区分真正的威胁和无辜用户。此外，自动化剧本允许下一代网络（NG-）SIEM 用于自动解决root漏洞的工具。
托管安全服务提供商 (MSSP)
MSSP 定义： 回想一下 SIEM其传感器和日志分析引擎。由于采用了基于云的工具，这些设备不再需要部署在企业自身的物理服务器机房中。基于这种云架构，企业可以选择将这些信息委托给其他公司进行管理。这正是托管安全服务提供商 (MSSP) 的基础服务。他们部署并管理一系列可接入客户网络的安全工具；借助多租户架构，每个客户的数据在后端都保持隔离。
MSSP客户可能拥有专属团队，也可能由多位网络安全专家轮流值守。他们共同全天候监控客户的网络和系统；然后，他们自己使用诸如……之类的工具。 SIEM 以及用于检测和响应异常情况的防火墙。由于拥有专门的团队，MSSP 能够管理大量的安全基础设施。此外，他们还可能提供合规性支持和事件响应服务，旨在遏制和恢复安全漏洞。由于需要监控的设备、网络和用户种类繁多，MSSP 通常需要为每个客户部署多种不同的工具。这也意味着他们的专门团队需要更大规模才能跨不同的工具进行操作，成本也更高。Stellar Cyber 的 SecOps 平台通过将所有工具整合到一个统一的管理平台上，改变了这种局面。 SIEM 仪表板与入侵检测系统并排放置， 面向 MSSP 的 Stellar Cyber 可以通过一个平台提供完全整合的警报分类、检测和威胁响应，从而降低成本并提高 MSSP 效率。
除了尖端工具外，MSSP 还为客户提供经验丰富的安全专业人员。外包这些专业知识可让企业避免个别工具对内部团队提出的部分或全部日常要求，从而降低人为错误的风险。
MSSP客户可能拥有专属团队，也可能由多位网络安全专家轮流值守。他们共同全天候监控客户的网络和系统；然后，他们自己使用诸如……之类的工具。 SIEM 以及用于检测和响应异常情况的防火墙。由于拥有专门的团队，MSSP 能够管理大量的安全基础设施。此外，他们还可能提供合规性支持和事件响应服务，旨在遏制和恢复安全漏洞。由于需要监控的设备、网络和用户种类繁多，MSSP 通常需要为每个客户部署多种不同的工具。这也意味着他们的专门团队需要更大规模才能跨不同的工具进行操作，成本也更高。Stellar Cyber 的 SecOps 平台通过将所有工具整合到一个统一的管理平台上，改变了这种局面。 SIEM 仪表板与入侵检测系统并排放置， 面向 MSSP 的 Stellar Cyber 可以通过一个平台提供完全整合的警报分类、检测和威胁响应，从而降低成本并提高 MSSP 效率。
除了尖端工具外，MSSP 还为客户提供经验丰富的安全专业人员。外包这些专业知识可让企业避免个别工具对内部团队提出的部分或全部日常要求，从而降低人为错误的风险。
托管检测和响应（MDR）
MDR 定义：托管检测和响应采用与 MSSP 相同的业务模式，但更注重快速威胁响应和补救。它们通常与内部网络安全团队一起部署，以增强其能力 - 尤其是应对特定威胁。
MDR 实施网络、应用程序和端点威胁识别工具，并结合人力专业知识来实时检测、分析和应对威胁。与 MSSP 不同，MDR 的一个关键功能是主动威胁搜寻，即熟练的分析师主动搜索隐藏的威胁，例如复杂的恶意软件或内部活动。一旦发现威胁，MDR 提供商就会迅速采取行动，通常是隔离受影响的系统、阻止恶意流量或禁用受感染的帐户。他们还提供事件响应服务来消除威胁并消除漏洞。
MDR 的另一个关键方面是根本原因分析，它能识别先前攻击发生的原因，从而预防未来事件的发生。定期报告和健康检查使组织能够随时了解其安全状况，每周或每月的更新会总结检测到的威胁、已采取的措施以及改进建议。由于这种专业性，MDR 提供商通常需要与内部团队紧密合作。在这种情况下，许多安全运营团队更倾向于保持独立运作。 SIEM 他们已经接受过培训并熟悉了该工具。Stellar Cyber 可以通过提供额外的警报和关联信息来实现这种灵活的工具配置。作为前端解决方案，Stellar Cyber 可以采集数据、应用全面的警报策略并维护现有的工作流程——然后将警报转发给预先存在的系统。 SIEM例如，通过整合来自任何现有安全控制的数据，Stellar 能够利用现有的工具并 将其转化为可操作的见解。
与纯粹的被动解决方案不同，MDR 强调主动和亲力亲为的方法，确保组织不仅能收到威胁警报，而且还能获得可操作的响应支持，以最大限度地减少损害和停机时间。
MDR 实施网络、应用程序和端点威胁识别工具，并结合人力专业知识来实时检测、分析和应对威胁。与 MSSP 不同，MDR 的一个关键功能是主动威胁搜寻，即熟练的分析师主动搜索隐藏的威胁，例如复杂的恶意软件或内部活动。一旦发现威胁，MDR 提供商就会迅速采取行动，通常是隔离受影响的系统、阻止恶意流量或禁用受感染的帐户。他们还提供事件响应服务来消除威胁并消除漏洞。
MDR 的另一个关键方面是根本原因分析，它能识别先前攻击发生的原因，从而预防未来事件的发生。定期报告和健康检查使组织能够随时了解其安全状况，每周或每月的更新会总结检测到的威胁、已采取的措施以及改进建议。由于这种专业性，MDR 提供商通常需要与内部团队紧密合作。在这种情况下，许多安全运营团队更倾向于保持独立运作。 SIEM 他们已经接受过培训并熟悉了该工具。Stellar Cyber 可以通过提供额外的警报和关联信息来实现这种灵活的工具配置。作为前端解决方案，Stellar Cyber 可以采集数据、应用全面的警报策略并维护现有的工作流程——然后将警报转发给预先存在的系统。 SIEM例如，通过整合来自任何现有安全控制的数据，Stellar 能够利用现有的工具并 将其转化为可操作的见解。
与纯粹的被动解决方案不同，MDR 强调主动和亲力亲为的方法，确保组织不仅能收到威胁警报，而且还能获得可操作的响应支持，以最大限度地减少损害和停机时间。
MDR、MSSP 和其他措施之间的区别概述 SIEM
鉴于它们彼此之间非常接近，区分每种安全和服务产品之间的差异至关重要。
主要焦点
- SIEM: 一种从多个来源收集和分析日志数据以识别潜在威胁的工具。可以与其他安全工具一起部署。
- 微软安全专家： 提供安全设备的外包监控和管理、事件警报和合规协助。
- 哈哈： 提供主动威胁检测和响应，包括端点监控、威胁搜寻和主动威胁的立即遏制。
关键能力
SIEM:
- 汇总来自系统和安全设备的数据。
- 使用分析进行日志关联和异常检测。
- 向分析师发出意外和恶意的日志模式警报。
微软安全专家：
- 提供跨不同安全工具的全天候安全监控和管理。
- 专注于有效的警报分类和遵守法规遵从性。
- 使客户能够访问维护良好的安全技术，例如 SIEMVPN和防火墙
哈哈：
- 结合工具和人类的专业知识来主动搜寻威胁。
- 提供对威胁的主动遏制和缓解。
- 包括端点检测和响应 (EDR) 功能。
实施过程
- SIEM: 需要内部配置和管理，通常需要大量内部专业知识来设置规则和响应警报。
- 微软安全专家： 需要与 MSSP 进行广泛合作，MSSP 随后会在客户的网络上实施监控工具，有时还会与现有工具集成。然后由 MSSP 代表客户执行持续管理。
- 哈哈： 需要与 MDR 提供商合作，然后由提供商将自己的工具与现有的安全堆栈集成（例如， SIEM（EDR）。内部安全团队需要了解他们的职责范围以及 MDR 提供商的职责范围。
哪种选择适合您的组织？
简单来说：最适合您企业的人力、预算和风险水平。以下四个因素可以为正确选择提供核心基础。
内部安全团队规模和能力
至关重要 SIEM 用例 所有这些信息最终都由内部安全团队管理。 SIEM 需要不断改进，即使是机器学习驱动的也是如此。 SIEM 工具必须避免误报。即使是资金最雄厚的团队，一旦出现误报，也会面临巨大的压力。因此，部署和管理可能是一个漫长而艰辛的过程，因为工具需要不断深入了解您网络自身的行为特征。考虑到部署可能需要长达一年的时间，这种压力必须牢记在心。精简的团队——或者那些原本人员流动率就很高的团队——可能难以揭示…… SIEM的全部能力。
因此，评判的大致规则是 SIEM MSP的适用性在于，拥有成熟内部团队的公司可能更倾向于选择专门的MSP服务。 SIEM 对于规模较小的 IT 团队来说，MSSP 可能是最佳选择，而对于规模较小的 IT 团队来说，MSSP 可能是最佳选择。
因此，评判的大致规则是 SIEM MSP的适用性在于，拥有成熟内部团队的公司可能更倾向于选择专门的MSP服务。 SIEM 对于规模较小的 IT 团队来说，MSSP 可能是最佳选择，而对于规模较小的 IT 团队来说，MSSP 可能是最佳选择。
预算和成本
需要新的安全设置 SIEM 该工具绝非最便宜的选择。这是因为 SIEM 几乎总是需要其他安全工具才能有效识别威胁，并且可能需要在部署之前雇用更多员工。
如果内部人手很少，MSSP 通常最适合预算紧张的情况。它们还能提供更高程度的预算可预测性。另一方面，MDR 可以显著增强精干的网络安全团队的能力，而无需花费大量资金来雇用和培训内部威胁检测专家。
如果内部人手很少，MSSP 通常最适合预算紧张的情况。它们还能提供更高程度的预算可预测性。另一方面，MDR 可以显著增强精干的网络安全团队的能力，而无需花费大量资金来雇用和培训内部威胁检测专家。
威胁缓解要求
如果实时威胁响应至关重要，那么 MDR 无疑是最佳选择。然而，对于长期合规性和报告能力而言， SIEM其深入的日志收集功能使其成为一个极其强大且可定制的选择。MSSP 最适合低风险环境：风险较高，因为您对 MSSP 在您的攻击面上使用的工具和技术几乎没有控制权。此外，并非所有 MSSP 都提供专门的事件响应能力。请密切关注他们的服务级别协议 (SLA)，以了解他们能够提供哪些威胁检测能力。
合规要求
必须满足严格合规要求（例如 PCI-DSS 和 GDPR）的组织可能更倾向于自动化。 SIEM 提供特定、以法规为导向的报告或MSSP选项。请记住，执法机构和政府组织可能需要严格限制对第三方安全服务的访问，因此需要…… SIEM.
利用 Stellar Cyber 针对所有四种用例进行优化
Stellar Cyber整合了对以下内容的详细分析： SIEM将 MSSP 的可扩展性以及 MDR 的主动威胁响应整合到一个易于访问的单一平台中 Open XDR 平台。
它的下一代 SIEM 该平台利用人工智能技术分析和关联跨不同环境的日志数据，为警报添加上下文信息，从而提供更深入的洞察，并提升团队效率。该平台专为企业和托管安全服务提供商 (MSSP) 设计，其多租户架构可高效支持多个客户端，同时与 400 多种云和安全工具无缝集成，实现最佳灵活性。了解 Stellar Cyber 如何将这些功能打包成一个经济实惠的许可证。 今天有一个演示。
它的下一代 SIEM 该平台利用人工智能技术分析和关联跨不同环境的日志数据，为警报添加上下文信息，从而提供更深入的洞察，并提升团队效率。该平台专为企业和托管安全服务提供商 (MSSP) 设计，其多租户架构可高效支持多个客户端，同时与 400 多种云和安全工具无缝集成，实现最佳灵活性。了解 Stellar Cyber 如何将这些功能打包成一个经济实惠的许可证。 今天有一个演示。
