SIEM mengumpulkan log dari seluruh organisasi, menormalkannya, dan mengkorelasikan peristiwa untuk mendeteksi ancaman. Firewall, server, endpoint, aplikasi, dan layanan cloud semuanya menghasilkan log. SIEM mengumpulkannya di satu tempat, mengurai data, dan menerapkan aturan untuk menemukan pola. Kegagalan login adalah gangguan. Seribu kegagalan login yang diikuti oleh keberhasilan adalah peringatan. SIEM menampilkan korelasi tersebut.

Platform SIEM seperti Splunk, Microsoft Sentinel, dan IBM QRadar sangat ampuh tetapi menuntut. Platform ini membutuhkan penyetelan. Secara default, platform ini menghasilkan terlalu banyak peringatan dan terlalu banyak false positive. Analis kewalahan. Nilai sebenarnya berasal dari pengembangan aturan yang cermat dan integrasi intelijen ancaman. SIEM juga mendukung kepatuhan. Auditor ingin melihat bahwa log dikumpulkan, disimpan, dan ditinjau. SIEM menyediakan bukti tersebut. SIEM modern menambahkan analitik perilaku pengguna dan pembelajaran mesin untuk mendeteksi anomali yang terlewatkan oleh aturan statis. Beberapa terintegrasi dengan platform SOAR untuk respons otomatis. SIEM adalah sistem saraf pusat dari pusat operasi keamanan. Tanpa itu, analis bekerja tanpa arah. Dengan itu, mereka tetap harus bekerja keras.

Fungsi SIEM

• Pengumpulan data log — mengumpulkan data dari berbagai sumber.
• Normalisasi — mengkonversi format ke dalam skema umum.
• Korelasi — menghubungkan peristiwa antar sumber
• Peringatan — memberi tahu analis tentang aktivitas mencurigakan
• Retensi — menyimpan log untuk kepatuhan dan investigasi

SIEM hanya akan berfungsi dengan baik jika log yang diterimanya berkualitas dan aturan yang dijalankan akurat. Data yang buruk akan menghasilkan output yang tidak relevan.