SIEM | Security Information Event Management
Proč provozovat platformu SIEM ?
Provozování systému SIEM ( Security Information Event Management ) je významné zejména pro organizace, které jsou významným cílem hrozeb a aktivně se zabývají jejich zmírňováním či eliminací. Jelikož většina velkých organizací prostřednictvím jejich centra bezpečnosti (SOC) dostává denně 10.000 ( u větších podniků i více než 100.000 ) bezpečnostních výstrah, většina z nich nedisponuje tak velkými bezpečnostní týmy, aby byly schopni držet krok s jejich neustálým nárůstem. Rozhodnutí, pro nasazení platformy SIEM pro ně potom přináší nový efektivnější způsob třídění a šetření všech výstrah a možnost soustředění úsilí bezpečnostních týmů na řešení těch největších hrozeb.
Implementace konkrétního řešení SIEM je obvykle prováděna prostřednictvím softwaru, systémů, zařízení nebo jejich vzájemnou kombinací. Obecně lze možno vymezit šest hlavních atributů systému SIEM.
Uchovávání:
Data jsou ukládána po tak dlouhou dobu, aby na základě jejich historie bylo možno dosáhnout kvalitnějšího rozhodování nebo jejich seskupení do relevantních datových sad.
Daschboardy:
Jsou používány pro rychlejší analýzu a vizualizaci dat ve snaze rozpoznat vzory, aktivity nebo údaje, která se vymykají standardním vzorcům chování.
Korelace:
Jedná se o seskupování dat do paketů, které jsou smysluplné, podobné a sdílejí společné rysy, přičemž cílem je převést data na užitečné informace.
Upozornění:
Když jsou shromážděny, identifikovány nebo vyhodnoceny některé údaje, může na základě nich následně dojít k vyvolání určitých reakcí ( jednoduchá upozornění, bezpečnostní varování ) a implementovaný nástroj SIEM může aktivovat předem definované akce a procesy, aby upozornil odpovědné uživatele. Jedná se např. o oznámení zasílaná na dashboardy, automatizované e-maily nebo textové zprávy.
Seskupování:
Data mohou být po zavedení SIEM řešení shromažďována z libovolného počtu systémů a prvků, vč. serverů, sítí, databází, softwaru a e-mailových systémů. Tato agregace dat pak slouží jako prostředek k jejich konsolidaci před jejich dalším zpracováním, aby pak nad nimi probíhaly analýzy možných korelací a následného uchování.
Soulad:
V rámci implementovaného řešení SIEM lze vytvořit pravidla a protokoly, prostřednictvím kterých jsou automaticky shromažďována data nezbytná pro zabezpečení souladu s různými firemními politikami, normami nebo platnou legislativou.
Námi standardně podporovaná SIEM řešení jsou na platformách ArcSight, LogPoint a ELK ( Elasticsearch, Logstash, Kibana ).