A SIEM naplókat gyűjt a szervezet egészéről, normalizálja azokat, és összefüggésbe hozza az eseményeket a fenyegetések észlelése érdekében. A tűzfalak, szerverek, végpontok, alkalmazások és felhőszolgáltatások mind naplókat generálnak. A SIEM egy helyre gyűjti ezeket, elemzi az adatokat, és szabályokat alkalmaz a minták megtalálására. A bejelentkezési hiba zaj. Ezer bejelentkezési hiba, amelyet egy sikeres bejelentkezés követ, riasztás. A SIEM ezt a korrelációt mutatja meg.

Az olyan SIEM platformok, mint a Splunk, a Microsoft Sentinel és az IBM QRadar, erősek, de igényesek. Finomításra szorulnak. Alapértelmezés szerint túl sok riasztást és túl sok téves riasztást generálnak. Az elemzők megfulladnak. Az érték a gondos szabályfejlesztésből és a fenyegetésfelderítés integrációjából származik. A SIEM a megfelelőséget is támogatja. Az auditorok látni akarják, hogy a naplókat összegyűjtik, megőrzik és felülvizsgálják. A SIEM ezt a bizonyítékot biztosítja. A modern SIEM-ek felhasználói viselkedéselemzést és gépi tanulást adnak hozzá a statikus szabályok által figyelmen kívül hagyott anomáliák észleléséhez. Egyesek integrálódnak a SOAR platformokkal az automatikus reagálás érdekében. A SIEM egy biztonsági műveleti központ központi idegrendszere. Nélküle az elemzők vakon dolgoznak. Vele is keményen kell dolgozniuk.

SIEM függvények

• Naplógyűjtés – adatok gyűjtése sok forrásból
• Normalizálás – formátumok konvertálása közös sémává
• Korreláció – események összekapcsolása források között
• Riasztás – értesítse az elemzőket a gyanús tevékenységekről
• Megőrzés – naplók tárolása megfelelőségi és vizsgálati célokból

Egy SIEM csak annyira jó, mint a fogadott naplók és a futtatott szabályok. Szemét be, zaj ki.