Een SIEM verzamelt logbestanden van de hele organisatie, normaliseert ze en correleert gebeurtenissen om bedreigingen te detecteren. Firewalls, servers, endpoints, applicaties en cloudservices genereren allemaal logbestanden. De SIEM verzamelt ze op één plek, analyseert de gegevens en past regels toe om patronen te vinden. Een mislukte inlogpoging is ruis. Duizend mislukte inlogpogingen gevolgd door een succesvolle, vormen een waarschuwing. De SIEM brengt die correlatie aan het licht.

SIEM-platforms zoals Splunk, Microsoft Sentinel en IBM QRadar zijn krachtig, maar veeleisend. Ze vereisen afstemming. Standaard genereren ze te veel waarschuwingen en te veel valse positieven. Analisten raken overbelast. De waarde zit hem in zorgvuldige regelontwikkeling en integratie van dreigingsinformatie. De SIEM ondersteunt ook compliance. Auditors willen zien dat logs worden verzameld, bewaard en gecontroleerd. De SIEM levert dat bewijs. Moderne SIEM's voegen analyses van gebruikersgedrag en machine learning toe om afwijkingen te detecteren die statische regels missen. Sommige integreren met SOAR-platforms voor geautomatiseerde respons. De SIEM is het centrale zenuwstelsel van een security operations center. Zonder een SIEM werken analisten in het duister. Zelfs mét een SIEM moeten ze nog steeds hard werken.

SIEM-functies

• Logboekverzameling — gegevens verzamelen uit vele bronnen.
• Normalisatie — het omzetten van formaten naar een gemeenschappelijk schema.
• Correlatie — het koppelen van gebeurtenissen uit verschillende bronnen.
• Waarschuwing — analisten op de hoogte stellen van verdachte activiteiten
• Bewaring — bewaar logbestanden voor naleving en onderzoek.

Een SIEM-systeem is slechts zo goed als de logbestanden die het ontvangt en de regels die het uitvoert. Slechte invoer leidt tot ruis.