SIEM-система собирает журналы со всей организации, нормализует их и сопоставляет события для обнаружения угроз. Межсетевые экраны, серверы, конечные устройства, приложения и облачные сервисы — все они генерируют журналы. SIEM-система собирает их в одном месте, анализирует данные и применяет правила для поиска закономерностей. Сбой при входе в систему — это шум. Тысяча неудачных попыток входа, за которыми следует успешный вход, — это оповещение. SIEM-система выявляет эту корреляцию.

Платформы SIEM, такие как Splunk, Microsoft Sentinel и IBM QRadar, мощные, но требовательные. Они нуждаются в настройке. В стандартной комплектации они генерируют слишком много оповещений и ложных срабатываний. Аналитики теряются. Ценность заключается в тщательной разработке правил и интеграции с системами анализа угроз. SIEM также поддерживает соответствие нормативным требованиям. Аудиторы хотят видеть, что журналы собираются, хранятся и анализируются. SIEM предоставляет эти доказательства. Современные SIEM добавляют аналитику поведения пользователей и машинное обучение для обнаружения аномалий, которые пропускают статические правила. Некоторые интегрируются с платформами SOAR для автоматического реагирования. SIEM — это центральная нервная система центра управления безопасностью. Без нее аналитики работают вслепую. С ней им все равно приходится усердно работать.

Функции SIEM

• Сбор логов — сбор данных из множества источников.
• Нормализация — преобразование форматов в общую схему.
• Корреляция — установление связи между событиями из разных источников.
• Система оповещения — уведомляет аналитиков о подозрительной активности.
• Хранение данных — сохранение журналов для обеспечения соответствия требованиям и проведения расследований.

Эффективность SIEM-системы напрямую зависит от качества получаемых ею логов и применяемых правил. На входе — мусор, на выходе — шум.