SIEM किसी संगठन के सभी लॉग इकट्ठा करता है, उन्हें सामान्यीकृत करता है और खतरों का पता लगाने के लिए घटनाओं को आपस में जोड़ता है। फ़ायरवॉल, सर्वर, एंडपॉइंट, एप्लिकेशन और क्लाउड सेवाएं सभी लॉग उत्पन्न करते हैं। SIEM इन सभी को एक जगह इकट्ठा करता है, डेटा का विश्लेषण करता है और पैटर्न खोजने के लिए नियम लागू करता है। लॉगिन विफलता सामान्य बात है। लेकिन हज़ार लॉगिन विफलताओं के बाद एक सफल लॉगिन एक चेतावनी है। SIEM इस सहसंबंध को उजागर करता है।

स्प्लंक, माइक्रोसॉफ्ट सेंटिनल और आईबीएम क्यूराडार जैसे एसआईईएम प्लेटफॉर्म शक्तिशाली तो हैं, लेकिन इन्हें ट्यूनिंग की आवश्यकता होती है। बिना किसी सेटिंग के, ये बहुत सारे अलर्ट और गलत पॉजिटिव परिणाम उत्पन्न करते हैं। विश्लेषक भ्रमित हो जाते हैं। इनका असली मूल्य नियमों के सावधानीपूर्वक विकास और खतरे की जानकारी के एकीकरण से आता है। एसआईईएम अनुपालन में भी सहायक होता है। ऑडिटर यह देखना चाहते हैं कि लॉग एकत्र किए गए हैं, सुरक्षित रखे गए हैं और उनकी समीक्षा की गई है। एसआईईएम यह प्रमाण प्रदान करता है। आधुनिक एसआईईएम उपयोगकर्ता व्यवहार विश्लेषण और मशीन लर्निंग को जोड़कर उन विसंगतियों का पता लगाते हैं जिन्हें स्थिर नियम पकड़ नहीं पाते। कुछ स्वचालित प्रतिक्रिया के लिए एसओएआर प्लेटफॉर्म के साथ एकीकृत होते हैं। एसआईईएम एक सुरक्षा संचालन केंद्र की केंद्रीय तंत्रिका तंत्र है। इसके बिना, विश्लेषक अंधेरे में काम करते हैं। इसके साथ भी, उन्हें कड़ी मेहनत करनी पड़ती है।

SIEM कार्यों

• लॉग संकलन — कई स्रोतों से डेटा एकत्र करना
• मानकीकरण — प्रारूपों को एक सामान्य योजना में परिवर्तित करना
• सहसंबंध — विभिन्न स्रोतों से होने वाली घटनाओं को आपस में जोड़ना
• अलर्टिंग — विश्लेषकों को संदिग्ध गतिविधि की सूचना देना
• डेटा संग्रहण — अनुपालन और जांच के लिए लॉग संग्रहित करें

एक SIEM की कार्यक्षमता उसके द्वारा प्राप्त लॉग और चलाए जाने वाले नियमों पर निर्भर करती है। गलत इनपुट से अनावश्यक आउटपुट ही मिलता है।