【零信任安全架构】零信任可观测性与 SIEM 集成：日志、检测与自动化响应
内容提要
零信任安全架构强调在每次资源访问时记录决策，生成大量安全日志。文章介绍了三层日志：PDP决策日志、证书和身份生命周期日志、微分段事件日志，并提出特定检测规则以识别异常行为。通过SIEM和SOAR实现自动化响应，确保安全事件的及时处理，同时讨论了日志存储成本及管理策略。
关键要点
-
零信任架构的安全日志量比传统架构多一个数量级，原因在于每次资源访问都记录决策。
-
第一层日志为PDP决策日志，记录每个决策的时间戳、决策结果、原因、用户和设备状态等信息。
-
第二层日志为证书和身份生命周期日志，关注证书签发、续期和吊销事件，识别异常模式。
-
第三层日志为微分段事件日志，记录网络层或应用层的允许/拒绝事件，面临高量级的deny事件挑战。
-
提出特定检测规则以识别异常行为，如同一用户从不同设备同时访问、设备降级后仍尝试访问高敏感资源等。
-
通过SIEM和SOAR实现自动化响应，确保安全事件的及时处理，关键在于自动化与人工确认的平衡。
-
日志存储成本不可忽略，需采用热存储和云对象存储的组合来管理大量的访问决策日志。
延伸解读
零信任架构的日志管理挑战
零信任架构生成的安全日志量显著高于传统架构，这对日志管理提出了更高要求。企业需考虑如何有效存储和检索这些日志，以避免因数据量过大而导致的性能问题。合理的存储策略，如热存储与云对象存储的结合，将有助于平衡成本与效率。
自动化响应的风险与平衡
在零信任架构中，SIEM与SOAR的自动化响应机制能够快速处理安全事件，但也存在误响应的风险。企业需谨慎设计自动化流程，确保低置信度事件由人工确认，以防止因错误响应造成的业务中断。
异常行为检测的重要性
文章中提到的特定检测规则能够有效识别潜在的安全威胁，如账户共享或设备降级攻击。企业应重视这些检测规则的实施，以提高对异常行为的响应能力，确保系统安全。
延伸问答
零信任架构的日志量为何比传统架构多？
零信任架构在每次资源访问时都记录决策，因此生成的安全日志量比传统架构多一个数量级。
PDP决策日志包含哪些信息？
PDP决策日志记录时间戳、决策结果、原因、用户和设备状态等信息。
如何识别异常行为？
可以通过特定检测规则，如同一用户从不同设备同时访问或设备降级后仍尝试访问高敏感资源来识别异常行为。
SIEM和SOAR在零信任架构中如何实现自动化响应？
SIEM通过Playbook触发SOAR的自动化响应，确保在检测到异常后及时处理安全事件。
日志存储成本如何管理？
日志存储成本可以通过热存储和云对象存储的组合来管理，以应对大量的访问决策日志。
微分段事件日志面临哪些挑战？
微分段事件日志面临高量级的deny事件挑战，可能需要采样或聚合来处理。
