1、概述
美国公司，在德国、西班牙、英国和墨西哥设有分支机构。主要从事SIEM(SOC)相关业务。主要商业模式是推广开源的OSSIM，并提供服务收费。另自建SOC中心，号称Cloud
SIEM。
2、产品情况
有三种产品：OpenSource SIM、SIM Professional和Cloud SIEM。SIM Professional版本基于OpenSource SIM(OSSIM)开发，同一个分支，未注册的就是OS版，通过注册号注册成为Prof版会增加关联分析能力、一些合规性报表等。老版本的ossim的源代码把所有代码放在一个工程下面，1.0以后的版本基本都分开了，代码工程如下：
1.agent 2.os-sim 3.server 4.web 5.ossim-gsoc2008
3、收费服务
培训、认证、技术支持和定期数据更新(通告、规则、报表、插件等)。
4、业界评价
Gartner的SOC行业分析幻方(Magic Quadrant)一直没有将其考察范围，主要因素可能是营收还比较小不满足Gartner标准，但是由于OpenSource概念行业一直对其比较关注。
5、OpenSource SIM情况
架构
系统分为SIEM、Sensor和Logger三部分。Sensor类似于采集器，但是含义更广，包含拓扑发现、漏洞信息收集等所有的信息收集功能；Logger是类似于我们通讯服务器，负责存储、备份、取证等；SIEM就是操作中心、审计、规则等等。
OSSIM可以分成几大部分：
ossim-agent
ossim-framemork
ossim-server
ossim-web界面
可以参考的方面
基于插件的体系，灵活性比基于配置更强一些，也便于整合第三方工具；
缺点是可能会造成一些混乱
采集协议支持较为全面（很多是依赖插件完成），比如Syslog, Syslog-ng,
SNMPv2, SNMPv3, OPSEC, HTTP,WMI, SQL, ODBC, FTP,SFTP, Socket
UNIX, flat file, SSH, Rsync, Samba, NFS, SDEE, RDEP, CPMI多种协议
利用多种开源工具无需一次开发
支持无线网络的功能比较特别
展现方式比较丰富，速度较慢
6、安装
安装拓扑：
VMware 新建alienvault_ossim 的虚拟机，将光驱设置为下载好的iso文件就OK。
在“Install OSSIM”界面，点击“Install AlientVaultOSSIM 5.0 (64Bit)”
（此为混合安装模式）；
在“Select a language”界面，选择“Chinese (Simplified)”，点击Continue；
在“选择你的区域”界面，选择“中国”，点击继续；
在“配置键盘”界面，选择“美国英语”，点击继续；
在“配置网络”界面，输入IP地址：172.16.100.100，点击继续；
输入网络掩码：255.255.255.0，点击继续；
输入网关：172.16.100.1，点击继续；
输入域名服务器地址：114.114.114.114，点击继续；
在“设置用户和密码”界面，输入Root用户的密码，点击继续；
安装完成之后，就可以通过Web界面进行访问了：https://172.16.100.100
经过对代码研究，似乎代码也不是完整的(应该缺少很多规则的定义)。没有任何工程和编译说明，从代码编译出二进制包估计是不可能的。基本是个大杂烩，采用了插件的体系结构，有内置的插件，也有第三方的插件。目前的插件号称有2000多种。展现方式是比较丰富的，比如雷达图之类的。另外正式版做了大量27001和PCI-DSS合规性报表（没注册码看不见内容，只能看见标题），比较符合国外的应用环境。开源版没有多条事件的关联分析能力，Prof版才有。
非常值得注意的一个事是：众包模式和大量威胁数据可能不会提高USM的有效性。这方面最权威的第三方分析机构Gartner认为，更多的数据并不一定是一件好事，如果你不能正确地分析这些数据。“我们的问题并不是缺少数据，我们缺少的是分析这些数据的智能化。”如果下一代产品可以提供智能和实用性的结合体，企业才能够获益。USM市场还有很大的可开拓的空间！
常见报错解决方法：
1、OSSIM 简体中文显示乱码问题解决
#首先是进入OSSIM的管理后台，用SSH登录后，进入系AlienVault Setup菜单，选择 3 Jailbreak system 即可使用Root权限进入后台
#修改本地化
执行 dpkg-reconfigure locales
#添加VIM对于UTF-8的支持
vi /etc/vim/vimrc
行尾添加
set encoding=utf8
set fileencodings=ucs-bom,gbk,gb2312,gb18030,utf-8,latin1
#同时指定自己的远程登录时字体编码为UTF-8
#默认安装完成没有msgfmt这个命令
apt-get install gettext
1)把/usr/share/locale/zh_CN/LC_MESSAGES/ossim.po下载到本地；
2)另存为GB2312格式；
3)用word将繁体中文改为简体；
4)修改第17行的编码，从UTF-8改成GB2312；
5)将修改后的文件上传到服务器覆盖原有的文件；
6)按照网上的方式运行msgfmt ossim.po -o ossim.mo
7)修改apache配置文件：/etc/apache2/conf.d/charset，在最后增加“AddDefaultCharset gb2312”；
8)重启apache：/etc/init.d/apache2 restart，一切OK。
===========================================
原文地址：http://blog.51cto.com/redone/2046933
