SIEM

Что это значит

SIEM, от английского security information and event management, - система управления информацией и событиями безопасности. Она собирает записи, то есть логи, из множества источников: серверов, рабочих станций, межсетевых экранов, приложений, облачных сервисов, систем входа и антивирусов. Данные хранятся в одном месте, приводятся к единому формату, и по ним можно искать.

Ключевая функция - корреляция, то есть поиск связей между событиями из разных источников. Отдельные события могут выглядеть безобидно, но вместе образуют подозрительный шаблон, например несколько неудачных входов, затем успешный вход из другой страны и скачивание большого объёма данных. SIEM предупредит о такой ситуации.

SIEM - техническая основа мониторинга безопасности. Но одной системы недостаточно, кто-то должен оценивать оповещения и реагировать. Команда, которая этим занимается, называется SOC. SIEM одновременно служит архивом журналов аудита для расследования инцидентов и подтверждения соответствия нормам.

Как это работает на практике

Для фирм, на которые распространяется NIS2 и словацкий закон о кибербезопасности, регистрация и анализ событий безопасности - одна из обязательных областей. SIEM или сервис, который его предоставляет, помогает выполнить требования по обнаружению, сообщению об инцидентах в короткие сроки и хранению записей.

Малые и средние фирмы обычно не могут позволить себе собственный SIEM и круглосуточную команду. Решение - услуга управляемого обнаружения от внешнего поставщика, который ведёт SIEM и SOC для нескольких клиентов. Фирма платит ежемесячно и получает оповещения только о действительно важных событиях с рекомендацией, что делать.

При внедрении важно выбрать правильные источники. Начинают с самых чувствительных систем: вход и управление идентификацией, почта, EDR на конечных устройствах, межсетевой экран и ключевые приложения. Правила обнаружения нужно настраивать, чтобы система не выдавала тысячи ложных тревог, которые никто не успеет проверить.

На что обратить внимание

Самая частая ошибка - SIEM, в который собирают записи, но никто за ними не следит. Такая система даёт ложное чувство безопасности и полезна лишь после инцидента при расследовании. Перед покупкой нужно решить, кто будет оценивать оповещения, в какие сроки и по какому порядку реагирования на инцидент.

Внимание к затратам и защите данных. Цена SIEM часто зависит от объёма собираемых данных, который может быстро расти. Логи также содержат персональные данные сотрудников и клиентов, поэтому нужно определить срок хранения, права доступа и уведомить сотрудников о мониторинге в соответствии с GDPR.