SIEM (Security Information and Event Management) jest rozwiązaniem do monitorowania cyberbezpieczeństwa oraz wykrywania i badania zagrożeń. SIEM gromadzi i analizuje dzienniki zdarzeń generowane przez sieci i systemy, ułatwiając wczesne wykrywanie zagrożeń i szybką reakcję.
SIEM jest używany przede wszystkim w centrum ds. bezpieczeństwa (ang. Security Operations Center. SOC), które monitoruje bezpieczeństwo w organizacji i rozumie występowanie cyberataków i incydentów. SIEM jest ważnym narzędziem dla specjalistów ds. bezpieczeństwa, wspierającym skuteczność ich działań.
Powiadomienia o alertach przez zintegrowane zarządzanie dziennikami: SIEM zarządza różnymi dziennikami w sposób zintegrowany i wykrywa oznaki nietypowych zachowań lub ataków, ostrzegając specjalistów ds. bezpieczeństwa. Na przykład oprócz wykrywania malware i innych nieautoryzowanych zachowań SIEM ostrzega również o wykryciu podejrzanych zdarzeń, takich jak wiele prób logowania na serwery, na których przechowywane są ważne informacje, lub korzystanie z usług chmurowych nieautoryzowanych przez firmę.
Badanie incydentów i reagowanie na nie: Na podstawie nieautoryzowanych zachowań i zdarzeń SIEM bada, czy doszło do cyberataku, czy też nie (zwykłe zachowanie, błąd dostępu itd.). W razie wykrycia cyberataku, jego ścieżka i zasięg, w tym informacja o tym, czy jest to atak wewnętrzny czy zewnętrzny, mogą zostać prześledzone i zapewnić wskazówki co do reakcji na incydent. Zostaną pojęte następujące środki
Raportowanie: Zwizualizowanie stanu naruszeń zasad bezpieczeństwa firmy i wypływu cyberataków w perspektywie średnio- i długoterminowej oraz sporządzenie raportu. Wizualizując rodzaje cyberataków, na jakie została narażona firma w okresie miesiąca, trzech miesięcy, sześciu miesięcy, roku itd., można określić, jakie inne środki zapobiegawcze należy wprowadzić.
Wyżej opisano główne przykłady użycia SIEM, jednak największą korzyścią, jaką SIEM oferuje pracownikom SOC, jest możliwość szybkiego wizualizowania zdarzeń oraz rejestrowanie informacji z różnych produktów i łączenie ich z następnym działaniem.
Choć SIEM oferuje zespołom SOC i innym korzyści w postaci podniesienia poziomu bezpieczeństwa i wydajności operacyjnej, to wiążą się z nim również następujące wyzwania.
Złożoność wdrożenia i konfiguracji: Rozwiązania SIEM są skomplikowane, a ich wdrożenie i konfiguracja wymaga czasu i doświadczenia. Specjaliści muszą stale doglądać pracy systemu, dodając do niego dzienniki z urządzeń i źródła danych, konfigurując reguły i dostrajając alerty.
Przetwarzanie dużych ilości danych z dzienników: Muszą być przetwarzanie i analizowane duże ilości danych. Do przetwarzania dużych ilości danych potrzebny jest odpowiedni sprzęt i przestrzeń dyskowa. Konieczne jest także zarządzanie okresami przechowywania dzienników danych oraz kompresją/redukcją danych.
Konieczność ciągłego reagowania na fałszywe alarmy i przeciążenie alertami: Systemy SIEM generują alerty na podstawie zaprogramowanych reguł i wzorców. Mogą zdarzać się fałszywe alarmy (tj. niegroźne zachowania błędnie interpretowane jako złośliwe) oraz niewykryte zdarzenia. W zależności od konfiguracji może również występować dużo alertów, co wymaga ich ciągłego dostrajania i poprawiania reguł przez operatorów.
Odpowiedź po wykryciu incydentu: Po wykryciu zdarzenia w czasie rzeczywistym należy je potwierdzić i odpowiednio na nie zareagować. Jeśli personel działu bezpieczeństwa odpowiednio wcześnie nie dostroi alertów, będzie musiał reagować na alerty różnych wielkości, co z kolei redukować może wydajność operacyjną.
Wymagania w zakresie umiejętności i zasobów: Do właściwej implementacji i obsługi systemów SIEM potrzeba znajomości zasad analizy bezpieczeństwa oraz umiejętności zarządzania. Potrzebne są również odpowiednie zasoby (ludzie, sprzęt i oprogramowanie).
Platforma rozszerzonego wykrywania i reagowania XDR (ang. Extended Detection and Response) i systemy SIEM są do siebie podobne w tym, że oba rozwiązania oferują narzędzie do poprawy bezpieczeństwa i wydajności. Różnice między SIEM i XDR są następujące:
Cele i konteksty zbierania danych
Analiza i detekcja
Reagowanie na incydenty i automatyzacja
Zależność od źródła