Ένα SIEM συλλέγει αρχεία καταγραφής από ολόκληρο τον οργανισμό, τα ομαλοποιεί και συσχετίζει συμβάντα για την ανίχνευση απειλών. Τα τείχη προστασίας, οι διακομιστές, τα τελικά σημεία, οι εφαρμογές και οι υπηρεσίες cloud δημιουργούν όλα αρχεία καταγραφής. Το SIEM τα συγκεντρώνει σε ένα μέρος, αναλύει τα δεδομένα και εφαρμόζει κανόνες για την εύρεση μοτίβων. Μια αποτυχία σύνδεσης είναι θόρυβος. Χίλιες αποτυχίες σύνδεσης ακολουθούμενες από μια επιτυχία είναι μια ειδοποίηση. Το SIEM εμφανίζει αυτήν τη συσχέτιση.

Οι πλατφόρμες SIEM όπως οι Splunk, Microsoft Sentinel και IBM QRadar είναι ισχυρές αλλά απαιτητικές. Απαιτούν ρύθμιση. Από την πρώτη στιγμή, δημιουργούν πάρα πολλές ειδοποιήσεις και πάρα πολλά ψευδώς θετικά. Οι αναλυτές πνίγονται. Η αξία προέρχεται από την προσεκτική ανάπτυξη κανόνων και την ενσωμάτωση πληροφοριών για απειλές. Το SIEM υποστηρίζει επίσης τη συμμόρφωση. Οι ελεγκτές θέλουν να δουν ότι τα αρχεία καταγραφής συλλέγονται, διατηρούνται και ελέγχονται. Το SIEM παρέχει αυτά τα στοιχεία. Τα σύγχρονα SIEM προσθέτουν αναλυτικά στοιχεία συμπεριφοράς χρήστη και μηχανική μάθηση για την ανίχνευση ανωμαλιών που οι στατικοί κανόνες δεν αντιλαμβάνονται. Ορισμένα ενσωματώνονται με πλατφόρμες SOAR για αυτοματοποιημένη απόκριση. Το SIEM είναι το κεντρικό νευρικό σύστημα ενός κέντρου επιχειρήσεων ασφαλείας. Χωρίς αυτό, οι αναλυτές εργάζονται στα τυφλά. Με αυτό, πρέπει ακόμα να εργαστούν σκληρά.

Συναρτήσεις SIEM

• Συλλογή αρχείων καταγραφής — συλλογή δεδομένων από πολλές πηγές
• Κανονικοποίηση — μετατροπή μορφών σε ένα κοινό σχήμα
• Συσχέτιση — σύνδεση συμβάντων μεταξύ πηγών
• Ειδοποίηση — ειδοποίηση αναλυτών για ύποπτη δραστηριότητα
• Διατήρηση — αποθήκευση αρχείων καταγραφής για συμμόρφωση και διερεύνηση

Ένα SIEM είναι τόσο καλό όσο τα αρχεία καταγραφής που λαμβάνει και οι κανόνες που εκτελεί. Σκουπίδια μέσα, θόρυβος έξω.