ROOTKey 与 SIEM：两者都需要吗？
简要回答
SIEM 收集并关联您的系统产生的日志和安全事件，让您的团队能够发现并调查可疑活动。ROOTKey 则作用于数据本身：它封存您的文件、表格和记录每个版本的数字指纹，发现任何更改（改了什么、由谁、何时、何地），并仅恢复被篡改的部分。SIEM 负责检测事件；ROOTKey 回答的是告警之后哪些数据仍然可信。如果您需要这两个答案，就需要二者兼备；ROOTKey 的事件可通过 REST API 和 Webhook 提供给您的 SIEM。
- 检测
- 持续改了什么、由谁、何时、何地
- 提供给 SIEM
- REST API及 Webhook
- 数字指纹
- SHA-256每个版本均附时间戳
- 范围
- 文件 · 表格 · 行仅限被篡改的部分
并列对比：SIEM 与 ROOTKey
SIEM 关注的是您的系统上报的事件，ROOTKey 关注的是您的文件、表格和记录的内容。下表列出二者各自的作用。
| SIEM | ROOTKey | |
|---|---|---|
| 回答的问题 | 我们的系统中正在发生什么，是否有可疑之处？ | 哪些数据仍然可信，究竟改了什么？ |
| 记录的内容 | 从系统、应用和网络设备收集的日志和安全事件 | 每个文件、表格或记录的每个版本都有 SHA-256 数字指纹，并连同时间戳封存于独立公共注册表 |
| 向第三方证明向他人证明完整性 | 并非其用途：它保存并分析所接收的事件 | 每项关键操作都会生成独立证明，外部审计人员无需访问原始数据即可验证 |
| 变更详情改了什么、由谁、何时、何地 | 显示系统上报的活动，例如登录、访问和告警，以各数据源的记录范围为限 | 显示内容本身的变更：行、单元格或字段的修改前后，以及由谁、何时、何地 |
| 选择性恢复仅限被篡改的部分 | 并非其职能：SIEM 不恢复数据 | 是：恢复最近一次经证明有效的版本，可精确到单个文件或单行 |
| 独立验证 | 依据受监控系统上报的事件工作 | 将数据本身与封存于独立公共注册表中的数字指纹比对 |
| 现有存储与您现有工具配合 | 从其所连接的系统收集事件 | 直接连接 SharePoint、OneDrive、Amazon S3 和 Cloudflare R2；通过 REST API 与 Webhook 连接其他任何系统，包括您的 SIEM |
| 监管证据 | 支持监控、检测和事件处置 | 面向 NIS2（第 21、23 条）、DORA（第 9、17 条）和 GDPR（第 32 条）的加密审计跟踪、完整性报告和证据包 |
各自适用场景
- SIEM
- 用于监控众多系统中的活动、关联事件、发出告警，并在安全运营团队调查事件时提供支持。
- ROOTKey
- 当问题涉及数据本身时：某个文件、表格或记录是否被更改、究竟改了什么、哪个版本可信，以及如何向审计人员或监管机构证明这一点。
它们回答的是不同的问题，配合使用效果最好。
如何配合使用
ROOTKey 的事件可通过 REST API 和 Webhook 提供给您的 SIEM，让您的团队在查看其他安全事件的同时看到数据的变更。
锚定
每个文件、表格或记录的每个版本都会获得唯一的数字指纹，并封存在带时间戳的独立公共注册表中。
检测
ROOTKey 持续将您的数据与已封存的记录比对，任何修改都会触发告警并给出说明：改了什么、由谁、何时、何地。
关联
这些事件通过 REST API 和 Webhook 进入您的 SIEM，与基础设施其他部分的事件并列呈现。
告警之后恢复
告警触发时，ROOTKey 显示哪些数据被篡改、哪些仍然可信，并仅将被篡改的部分恢复为最近一次经证明有效的版本。每项操作都以加密时间戳封存，形成可供审计人员使用、并可导出给监管机构的监管链。
连接器、API 与 Webhook：集成。
常见问题
ROOTKey 会取代我的 SIEM 吗？
不会，它是补充。SIEM 负责检测事件；ROOTKey 回答的是告警之后哪些数据仍然可信。它们回答的是不同的问题，配合使用效果最好。
ROOTKey 如何与我们的 SIEM 集成？
事件可通过 REST API 和 Webhook 提供给您的 SIEM。
SIEM 能否显示文件内部改了什么？
SIEM 依据系统上报的事件工作，例如访问和活动。ROOTKey 则将文件本身与已封存的原件比对，只显示被改动的部分，包括行、单元格或字段的修改前后，以及由谁、何时、何地。
ROOTKey 在哪里运行？
ROOTKey 可作为托管于欧盟的 SaaS 运行，也可部署在您自己的云账户中、您的基础设施之内，或采用混合模式：数据留在本地，SaaS 看板分离。