Systém SIEM shromažďuje protokoly z celé organizace, normalizuje je a koreluje události za účelem detekce hrozeb. Protokoly generují firewally, servery, koncové body, aplikace a cloudové služby. Systém SIEM je shromažďuje na jednom místě, analyzuje data a aplikuje pravidla k nalezení vzorců. Selhání přihlášení je šum. Tisíc neúspěšných přihlášení následovaných úspěšným přihlášením je upozornění. Systém SIEM tuto korelaci odhaluje.

Platformy SIEM jako Splunk, Microsoft Sentinel a IBM QRadar jsou výkonné, ale náročné. Vyžadují ladění. Ihned po instalaci generují příliš mnoho upozornění a příliš mnoho falešně pozitivních výsledků. Analytici se topí. Hodnota pramení z pečlivého vývoje pravidel a integrace informací o hrozbách. SIEM také podporuje dodržování předpisů. Auditoři chtějí vidět, že jsou protokoly shromažďovány, uchovávány a kontrolovány. SIEM poskytuje tyto důkazy. Moderní SIEM přidávají analýzu chování uživatelů a strojové učení k detekci anomálií, které statická pravidla přehlížejí. Některé se integrují s platformami SOAR pro automatizovanou reakci. SIEM je centrálním nervovým systémem bezpečnostního operačního centra. Bez něj analytici pracují naslepo. S ním však musí stále tvrdě pracovat.

Funkce SIEM

• Sběr protokolů – shromažďování dat z mnoha zdrojů
• Normalizace – převod formátů do společného schématu
• Korelace – propojení událostí napříč zdroji
• Upozorňování – upozorňování analytiků na podezřelou aktivitu
• Uchovávání – ukládání protokolů pro účely dodržování předpisů a vyšetřování

SIEM je jen tak dobrý, jako jsou dobré protokoly, které přijímá, a pravidla, která spouští. Na vstupu je odpad, na výstupu je šum.