Bir SIEM, kuruluş genelindeki günlükleri toplar, normalleştirir ve tehditleri tespit etmek için olayları ilişkilendirir. Güvenlik duvarları, sunucular, uç noktalar, uygulamalar ve bulut hizmetleri günlükler üretir. SIEM bunları tek bir yerde toplar, verileri ayrıştırır ve kalıpları bulmak için kurallar uygular. Bir oturum açma hatası gürültüdür. Binlerce oturum açma hatasının ardından gelen bir başarı ise bir uyarıdır. SIEM bu ilişkiyi ortaya çıkarır.

Splunk, Microsoft Sentinel ve IBM QRadar gibi SIEM platformları güçlü ancak talepkardır. Ayarlama gerektirirler. Varsayılan ayarlarıyla çok fazla uyarı ve çok fazla yanlış pozitif üretirler. Analistler boğulur. Değer, dikkatli kural geliştirme ve tehdit istihbaratı entegrasyonundan gelir. SIEM ayrıca uyumluluğu da destekler. Denetçiler, kayıtların toplandığını, saklandığını ve incelendiğini görmek ister. SIEM bu kanıtı sağlar. Modern SIEM'ler, statik kuralların gözden kaçırdığı anormallikleri tespit etmek için kullanıcı davranış analizi ve makine öğrenimi ekler. Bazıları otomatik yanıt için SOAR platformlarıyla entegre olur. SIEM, bir güvenlik operasyon merkezinin merkezi sinir sistemidir. Onsuz analistler körlemesine çalışır. Onunla bile yine de çok çalışmak zorundadırlar.

SIEM fonksiyonları

• Günlük kaydı toplama — birçok kaynaktan veri toplama
• Normalizasyon — formatları ortak bir şemaya dönüştürme
• Korelasyon — farklı kaynaklardaki olayları birbirine bağlama
• Uyarı — Şüpheli faaliyetler konusunda analistleri bilgilendirin
• Saklama — uyumluluk ve soruşturma için kayıtları saklayın.

Bir SIEM sistemi, aldığı kayıtlar ve çalıştırdığı kurallar kadar iyidir. Yanlış veri girerseniz, yanlış sonuç alırsınız.