En SIEM indsamler logs fra hele organisationen, normaliserer dem og korrelerer hændelser for at opdage trusler. Firewalls, servere, endpoints, applikationer og cloudtjenester genererer alle logs. SIEM samler dem ét sted, analyserer dataene og anvender regler for at finde mønstre. En loginfejl er støj. Tusind loginfejl efterfulgt af en succes er en advarsel. SIEM afslører denne korrelation.

SIEM-platforme som Splunk, Microsoft Sentinel og IBM QRadar er kraftfulde, men krævende. De kræver finjustering. Direkte fra starten genererer de for mange advarsler og for mange falske positiver. Analytikere drukner. Værdien kommer fra omhyggelig regeludvikling og integration af trusselsinformation. SIEM understøtter også compliance. Revisorer ønsker at se, at logs indsamles, opbevares og gennemgås. SIEM leverer denne dokumentation. Moderne SIEM'er tilføjer brugeradfærdsanalyse og maskinlæring for at opdage anomalier, som statiske regler overser. Nogle integreres med SOAR-platforme for automatiseret respons. SIEM er centralnervesystemet i et sikkerhedscenter. Uden det arbejder analytikere i blinde. Med det skal de stadig arbejde hårdt.

SIEM-funktioner

• Logindsamling — indsaml data fra mange kilder
• Normalisering — konverter formater til et fælles skema
• Korrelation — sammenkæd begivenheder på tværs af kilder
• Alarmering — underretter analytikere om mistænkelig aktivitet
• Opbevaring — gem logfiler til overholdelse og undersøgelse

En SIEM er kun så god som de logfiler, den modtager, og de regler, den kører. Affald ind, støj ud.