Hệ thống SIEM thu thập nhật ký từ khắp tổ chức, chuẩn hóa chúng và tương quan các sự kiện để phát hiện các mối đe dọa. Tường lửa, máy chủ, thiết bị đầu cuối, ứng dụng và dịch vụ đám mây đều tạo ra nhật ký. SIEM tập hợp chúng vào một nơi, phân tích dữ liệu và áp dụng các quy tắc để tìm ra các mẫu. Một lần đăng nhập thất bại chỉ là nhiễu. Một nghìn lần đăng nhập thất bại tiếp theo là một lần thành công mới là cảnh báo. SIEM sẽ làm nổi bật mối tương quan đó.

Các nền tảng SIEM như Splunk, Microsoft Sentinel và IBM QRadar rất mạnh mẽ nhưng đòi hỏi khắt khe. Chúng cần được tinh chỉnh. Khi sử dụng mặc định, chúng tạo ra quá nhiều cảnh báo và quá nhiều cảnh báo sai. Các nhà phân tích bị quá tải. Giá trị đến từ việc phát triển quy tắc cẩn thận và tích hợp thông tin tình báo về mối đe dọa. SIEM cũng hỗ trợ tuân thủ. Các kiểm toán viên muốn thấy rằng nhật ký được thu thập, lưu giữ và xem xét. SIEM cung cấp bằng chứng đó. Các SIEM hiện đại bổ sung phân tích hành vi người dùng và học máy để phát hiện các bất thường mà các quy tắc tĩnh bỏ sót. Một số tích hợp với các nền tảng SOAR để phản hồi tự động. SIEM là hệ thần kinh trung ương của trung tâm điều hành an ninh. Không có nó, các nhà phân tích làm việc trong bóng tối. Có nó, họ vẫn phải làm việc vất vả.

Chức năng SIEM

• Thu thập nhật ký — thu thập dữ liệu từ nhiều nguồn.
• Chuẩn hóa — chuyển đổi các định dạng thành một lược đồ chung
• Tương quan — liên kết các sự kiện giữa các nguồn khác nhau
• Cảnh báo — thông báo cho các nhà phân tích về hoạt động đáng ngờ
• Lưu trữ — lưu trữ nhật ký để phục vụ mục đích tuân thủ và điều tra.

Một hệ thống SIEM chỉ tốt khi dữ liệu nhật ký nó nhận được và các quy tắc nó thực thi tốt. Dữ liệu đầu vào kém chất lượng sẽ dẫn đến dữ liệu đầu ra nhiễu.