Um SIEM recolhe os registos de toda a organização, normaliza-os e correlaciona os eventos para detetar ameaças. Firewalls, servidores, endpoints, aplicações e serviços na cloud geram logs. O SIEM reúne-os num único local, analisa os dados e aplica regras para encontrar padrões. Uma falha de login é ruído. Mil falhas de login seguidas de um sucesso constituem um alerta. O SIEM revela essa correlação.

As plataformas SIEM como o Splunk, Microsoft Sentinel e IBM QRadar são poderosas, mas exigentes. Requerem ajustes. Por defeito, geram alertas em excesso e muitos falsos positivos, sobrecarregando os analistas. O valor reside no desenvolvimento cuidadoso de regras e na integração da inteligência de ameaças. O SIEM também auxilia na conformidade. Os auditores querem ver que os registos são recolhidos, retidos e revistos. O SIEM fornece essas evidências. Os SIEM modernos adicionam análise de comportamento do utilizador e aprendizagem automática para detetar anomalias que as regras estáticas não identificam. Alguns integram-se com plataformas SOAR para resposta automatizada. O SIEM é o sistema nervoso central de um centro de operações de segurança. Sem ele, os analistas trabalham às cegas. Com ele, ainda precisam de se esforçar bastante.

funções SIEM

• Recolha de registos — reunir dados de diversas fontes.
• Normalização — converter formatos num esquema comum.
• Correlação — ligar eventos entre fontes diferentes
• Alerta — notificar os analistas sobre atividades suspeitas.
• Retenção — armazenar registos para fins de conformidade e investigação.

Um SIEM só é tão bom quanto os logs que recebe e as regras que executa. Lixo entra, ruído sai.