Ett SIEM-system samlar in loggar från hela organisationen, normaliserar dem och korrelerar händelser för att upptäcka hot. Brandväggar, servrar, slutpunkter, applikationer och molntjänster genererar alla loggar. SIEM-systemet samlar dem på ett ställe, analyserar data och tillämpar regler för att hitta mönster. Ett inloggningsmisslyckande är brus. Tusen inloggningsmisslyckanden följt av ett lyckat resultat är en varning. SIEM-systemet visar den korrelationen.

SIEM-plattformar som Splunk, Microsoft Sentinel och IBM QRadar är kraftfulla men krävande. De kräver finjustering. Direkt ur lådan genererar de för många varningar och för många falska positiva resultat. Analytiker drunknar. Värdet kommer från noggrann regelutveckling och integrering av hotinformation. SIEM stöder också efterlevnad. Revisorer vill se att loggar samlas in, lagras och granskas. SIEM tillhandahåller dessa bevis. Moderna SIEM:er lägger till analys av användarbeteende och maskininlärning för att upptäcka avvikelser som statiska regler missar. Vissa integreras med SOAR-plattformar för automatiserade svar. SIEM är det centrala nervsystemet i ett säkerhetscenter. Utan det arbetar analytiker i blindo. Med det måste de fortfarande arbeta hårt.

SIEM-funktioner

• Logginsamling — samla in data från många källor
• Normalisering — konvertera format till ett gemensamt schema
• Korrelation — länka händelser mellan källor
• Aviseringar — meddelar analytiker om misstänkt aktivitet
• Lagring — lagra loggar för efterlevnad och utredning

En SIEM är bara så bra som de loggar den tar emot och de regler den kör. Skräp in, brus ut.