System SIEM gromadzi logi z całej organizacji, normalizuje je i koreluje zdarzenia w celu wykrywania zagrożeń. Zapory sieciowe, serwery, punkty końcowe, aplikacje i usługi chmurowe generują logi. System SIEM gromadzi je w jednym miejscu, analizuje dane i stosuje reguły w celu znalezienia wzorców. Nieudane logowanie to szum. Tysiąc nieudanych logowań zakończonych sukcesem to alert. System SIEM uwidacznia tę korelację.

Platformy SIEM, takie jak Splunk, Microsoft Sentinel i IBM QRadar, są wydajne, ale wymagające. Wymagają dostrojenia. Gotowe do użycia generują zbyt wiele alertów i fałszywych alarmów. Analitycy toną w błocie. Wartość wynika ze starannego opracowania reguł i integracji analizy zagrożeń. SIEM wspiera również zgodność. Audytorzy chcą mieć pewność, że logi są gromadzone, przechowywane i przeglądane. SIEM dostarcza takich dowodów. Nowoczesne systemy SIEM dodają analizę zachowań użytkowników i uczenie maszynowe, aby wykrywać anomalie pomijane przez reguły statyczne. Niektóre integrują się z platformami SOAR w celu zautomatyzowanej reakcji. SIEM to centralny układ nerwowy centrum operacji bezpieczeństwa. Bez niego analitycy pracują w ciemno. Z nim nadal muszą ciężko pracować.

Funkcje SIEM

• Zbieranie dzienników — zbieranie danych z wielu źródeł
• Normalizacja — konwersja formatów do wspólnego schematu
• Korelacja — łączenie zdarzeń w różnych źródłach
• Alertowanie — powiadamiaj analityków o podejrzanej aktywności
• Przechowywanie — przechowuj dzienniki w celu zapewnienia zgodności i przeprowadzenia dochodzenia

System SIEM jest tak dobry, jak logi, które otrzymuje, i reguły, które uruchamia. Wprowadzanie śmieci, usuwanie szumów.