不过，随着这两种产品不断发展，它们已经变得越来越具有互补性，而不是竞争性。SIEM提供广泛的日志支持，但需要进行精心的调试和手动修复。而SOAR则提供强大的自动化和自治能力，但要依靠连接器和剧本才能发挥作用。
这两种产品都具有相似的功能，它们之间的互补性使得这两种技术可以协同工作，并扩展和改善改进企业的安全状况。当管理员在评估SIEM与SOAR时，应该考虑以下因素：
什么是SIEM?
可用的SIEM工具包括SolarWindsSecurityEventManager、ManageEngineEventLogAnalyzer、SplunkEnterpriseSecurity、OSSEC、LogRhythmNextGenSIEM平台和RSANetWitnessSuite。
这些工具都声称具有强大的特性和功能，IT团队可以考虑以下SIEM功能，以简化评估过程。
(1)日志关联和分析。日志互操作性是关键组成部分。SIEM工具必须从各种各样的数据源中提取大量日志文件，而日志文件没有统一的标准。
有些日志提供非常详细和细粒度的数据，而另一些日志则可能省略详细信息;有些来源可能会以人类可读的纯文本格式生成日志文件，而其他工具可能会以需要解析器读取的方式对数据进行编码。这里的重点是你选择的SIEM工具应该可在企业的特定IT网络中提取和解释日志。
但是，所提取的日志必须关联。读取多个日志的功能可帮助SIEM工具了解到，某个日志错误可能与网络流量或错误消息相关。SIEM工具价值的基础是解读和关联各种数据的功能。
第三个分析功能是威胁检测，这是SIEM技术的关键限制。SIEM工具必须具有关联的日志数据以识别潜在威胁。某些威胁检测是基于日志错误和相关数据自动进行，但管理员仍应部署其他管理调试和威胁情报，以定义威胁行为或跳过“误报”。
(2)事件优先排序、通知和警报。SIEM工具检测威胁的能力至关重要，但重要的是，必须及时、有效地将这些威胁信息传达给管理员。通常，在繁忙的IT环境中的SIEM系统每秒可能产生数百甚至数千个问题。
你应该评估SIEM工具在检测到问题并确定优先级时如何发出通知。这些工具可以让管理员为触发的事件配置操作，并向安全团队成员发送实时警报。这里的目的是减少安全事件活跃的时间。减少响应时间有利于关键性能指标，例如应用程序可用性、停机时间和用户满意度等级。
(3)报告和用户界面。SIEM工具可以提供一系列基本和自定义报告，以满足特定的业务需求。例如，报告可以跟踪指标，例如平均修复时间，并表明安全团队如何发现和修复威胁。
请确保评估UI。很多SIEM工具都提供仪表板式的UI，管理员可以对其进行配置，以显示对企业特别有价值的数据点。管理员和IT经理可能会忽略笨重、不灵活且难以使用的UI，因此请在选择SIEM软件时考虑UI的可读性和可配置性。
(4)工作流进程。无数的问题和警报很容易导致修复措施不完善和失败的结果。现在越来越多的SIEM工具正在部署工作流进程，以帮助管理员跟踪事件进度，从监视和检测到修复。
什么是SOAR?
SOAR工具包括提供强大分析和自动化功能的产品。这些程序减少了对传统日志的依赖，并使用更多的实时数据收集来提供更快更自治的威胁响应。
这些工具提供四种主要功能：大量使用数据收集和分析;与系统和管理软件广泛集成;对事件进行自主、政策驱动的响应;以及事件分类、警报和升级。
SOAR软件可以加快事件检测和响应速度，但是智能方面仍然存在挑战。SOAR通常依靠策略和工作流程来识别事件并精心安排适当的响应。SOAR使用的策略和工作流程剧本从来都不是单一的工作。
正如SIEM管理员必须调试和调整平台以发现事件一样，SOAR管理员必须定期更新软件以处理新的或未知的威胁。
SOAR功能与产品
当前的SOAR工具包括DemistoEnterprise、LogicHub、Panaser、ResolveSystems、RespondSoftware等产品。此类工具通常与SIEM产品具有相似的功能，但是SOAR产品应侧重于自动化和编排功能，这些功能比SIEM产品具有更大的自治权。
(1)自动化和编排。SOAR的主要目的是减少完成安全任务所需的时间和精力。自动化在这里起主要作用，自动化有助于减轻耗时任务。
SOAR软件可以响应安全事件，并在票据跟踪系统中自动提交票据，并调用工作流程中的任何后续步骤。由于此行为是自动的，因此人类不需要安全警报即可打开故障单并手动解决问题。
(2)协调的工作流程。对自动化和编排的高度依赖导致对工作流程的高度依赖，以定义解决和纠正安全威胁的适当步骤顺序。工作流不仅涉及安全团队，还可以涉及企业内的多个团队。
(3)报告和事件管理。通过对从无数不同来源收集的所有数据进行有效的整理和分类，SOAR工具可以节省时间和进行编排。
例如，该软件可以从多个集成系统中收集警报数据，然后将其合并到公共位置，以进行其他研究和调查。
SOAR产品还提供强大的事件管理功能，使管理员可以将数据和警报与相应的票据关联起来，以支持详细的调查。
(4)支持剧本。剧本是部署工作流程的一种方式–通过概述完成某项操作所需的全部步骤。剧本会总结单个操作，管理员可以链接多个剧本以完成复杂的动作。IT团队还可以将剧本与问题跟踪系统绑定在一起，以实现针对特定工作流的特定剧本。剧本通常是共享的，并且随着威胁的发展和扩散而需要定期更新。
例如，当警报进入问题跟踪系统，可能会触发将网络流量与某些日志中的可疑IP地址隔离、搜索安全情报摘要，并检查目标IP地址是否存在任何受感染的进程或帐户。
(5)支持集成。仅当与所有基础架构中的其他系统全面集成时，SOAR软件才能达到有效水平的省时自动化和编排。
集成通常通过连接器来处理，该连接器允许SOAR软件互操作并自动进行信息收集和响应。连接器可能是SOAR的最苛刻和最棘手的方面之一，因为各种防火墙、端点系统、应用程序日志、路由器和SIEM工具都需要连接器。对集成系统的任何更改都可能需要管理员更新连接器。
