En SIEM samler inn logger fra hele organisasjonen, normaliserer dem og korrelerer hendelser for å oppdage trusler. Brannmurer, servere, endepunkter, applikasjoner og skytjenester genererer alle logger. SIEM samler dem på ett sted, analyserer dataene og bruker regler for å finne mønstre. En påloggingsfeil er støy. Tusen påloggingsfeil etterfulgt av en suksess er et varsel. SIEM avdekker denne korrelasjonen.

SIEM-plattformer som Splunk, Microsoft Sentinel og IBM QRadar er kraftige, men krevende. De krever finjustering. Rett ut av esken genererer de for mange varsler og for mange falske positiver. Analytikere drukner. Verdien kommer fra nøye regelutvikling og integrering av trusselinformasjon. SIEM støtter også samsvar. Revisorer ønsker å se at logger samles inn, oppbevares og gjennomgås. SIEM gir disse bevisene. Moderne SIEM-er legger til brukeratferdsanalyse og maskinlæring for å oppdage avvik som statiske regler overser. Noen integreres med SOAR-plattformer for automatisert respons. SIEM er sentralnervesystemet i et sikkerhetsoperasjonssenter. Uten det jobber analytikere i blinde. Med det må de fortsatt jobbe hardt.

SIEM-funksjoner

• Loggsamling – samle inn data fra mange kilder
• Normalisering – konverter formater til et felles skjema
• Korrelasjon – koble sammen hendelser på tvers av kilder
• Varsling – varsle analytikere om mistenkelig aktivitet
• Oppbevaring – lagre logger for samsvar og etterforskning

En SIEM er bare så god som loggene den mottar og reglene den kjører. Søppel inn, støy ut.