Un SIEM colectează jurnale din întreaga organizație, le normalizează și corelează evenimentele pentru a detecta amenințările. Firewall-urile, serverele, endpoint-urile, aplicațiile și serviciile cloud generează jurnale. SIEM le adună într-un singur loc, analizează datele și aplică reguli pentru a găsi tipare. O eroare de conectare este zgomot. O mie de eșecuri de conectare urmate de un succes reprezintă o alertă. SIEM scoate la iveală această corelație.

Platformele SIEM precum Splunk, Microsoft Sentinel și IBM QRadar sunt puternice, dar solicitante. Necesită reglare. Din fabrică, generează prea multe alerte și prea multe rezultate fals pozitive. Analiștii se îneacă. Valoarea provine din dezvoltarea atentă a regulilor și integrarea informațiilor despre amenințări. SIEM-ul susține, de asemenea, conformitatea. Auditorii vor să vadă că jurnalele sunt colectate, păstrate și revizuite. SIEM-ul oferă aceste dovezi. SIEM-urile moderne adaugă analize ale comportamentului utilizatorilor și învățare automată pentru a detecta anomalii pe care regulile statice le ratează. Unele se integrează cu platformele SOAR pentru răspunsuri automate. SIEM-ul este sistemul nervos central al unui centru de operațiuni de securitate. Fără el, analiștii lucrează în orb. Cu el, tot trebuie să muncească din greu.

Funcții SIEM

• Colectare jurnal — colectare date din mai multe surse
• Normalizare — conversia formatelor într-o schemă comună
• Corelație — legarea evenimentelor între surse
• Alertare — notificarea analiștilor cu privire la activități suspecte
• Păstrare — stocarea jurnalelor pentru conformitate și investigare

Un SIEM este la fel de bun ca logurile pe care le primește și regulile pe care le rulează. Dacă intră resturi inutile, iese zgomot.