众所周知，ISP 必须记录各种网络数据以用于各种目的，例如执法需要。
但是，ISP 用来浏览如此大量的网络日志的软件工具有哪些呢？
此外，如果某个 IP 地址的用户收到了传票，那么 ISP 查找该用户需要花多少时间？
答案1
这取决于日志的类型。但现在很多人都使用安全信息和事件管理 (SIEM) 系统。
SIEM 解决方案提供实时网络上发生事件的整体视图，并帮助 IT 团队更加主动地抵御安全威胁。
SIEM 解决方案的独特之处在于，它们将安全事件管理 (SEM) 与安全信息管理 (SIM) 相结合，前者实时分析事件和日志数据以提供事件关联、威胁监控和事件响应，后者检索和分析日志数据并生成报告。对于希望实时完全了解和控制网络上正在发生的事情的组织来说，SIEM 解决方案至关重要。
SIEM 软件收集并汇总整个组织的技术基础设施（从主机系统和应用程序到网络和安全设备（如防火墙和防病毒过滤器））生成的日志数据。
然后，该软件识别和分类事件，并对其进行分析。该软件有两个主要目标：提供与安全相关的事件和事件报告，例如成功和失败的登录、恶意软件活动和其他可能的恶意活动；如果分析显示某项活动违反了预定的规则集，从而表明存在潜在的安全问题，则发出警报。
一些免费和开源的 SIEM：
- 操作系统集成
- 操作系统安全评估中心
- 萨根
- Splunk 免费
- 呼噜
- Elasticsearch
- MozDef
- ELK 堆栈
- 瓦祖赫
- 阿帕奇 Metron
SIEM 可以使用 AI（人工智能）来获得预测能力。通常，SIEM 中的 AI 表现为机器学习；这一重要能力在获取威胁情报和防御现场攻击时会了解威胁。机器学习可以更轻松地跨大型数据集检测威胁，从而减轻安全团队的一些威胁搜寻责任。