SIEM

Čo to znamená

SIEM, z anglického security information and event management, je systém na správu bezpečnostných informácií a udalostí. Zbiera záznamy, teda logy, z mnohých zdrojov: serverov, pracovných staníc, firewallov, aplikácií, cloudových služieb, prihlasovacích systémov či antivírusov. Údaje ukladá na jedno miesto, zjednotí ich formát a umožní v nich vyhľadávať.

Kľúčovou funkciou je koreľácia, teda hľadanie súvislostí medzi udalosťami z rôznych zdrojov. Jednotlivé udalosti môžu vyzerať nevinne, ale spolu tvoria podozrivý vzorec, napríklad viac neúspešných prihlásení, potom úspešné prihlásenie z inej krajiny a stiahnutie veľkého objemu dát. SIEM na takú situáciu upozorní.

SIEM je technickým základom bezpečnostného dohľadu. Samotný systém však nestačí, niekto musí upozornenia vyhodnocovať a reagovať. Tím, ktorý to robí, sa nazýva SOC. SIEM zároveň slúži ako archív auditných záznamov na vyšetrovanie incidentov a na preukázanie súladu s predpismi.

Ako to funguje v praxi

Pre firmy, na ktoré sa vzťahuje NIS2 a slovenský zákon o kybernetickej bezpečnosti, je zaznamenávanie a vyhodnocovanie bezpečnostných udalostí jednou z požadovaných oblastí. SIEM alebo služba, ktorá ho poskytuje, pomáha splniť požiadavky na detekciu, hlásenie incidentov v krátkych lehotách a uchovávanie záznamov.

Malé a stredné firmy si zvyčajne vlastný SIEM a nepretržitý tím nemôžu dovoliť. Riešením je služba riadenej detekcie od externého poskytovateľa, ktorý prevádzkuje SIEM aj SOC pre viacerých zákazníkov. Firma platí mesačný poplatok a dostáva upozornenia len na skutočne podstatné udalosti, s odporúčaním, čo robiť.

Pri nasadení je dôležité vybrať správne zdroje. Začína sa pri najcitlivejších systémoch: prihlasovanie a správa identít, e-mail, EDR na koncových zariadeniach, firewall a kľúčové aplikácie. Pravidlá detekcie treba ladiť, aby systém neprodukoval tisíce falošných poplachov, ktoré nikto nestihne preveriť.

Na čo si dať pozor

Najčastejšou chybou je SIEM, do ktorého sa zbierajú záznamy, ale nikto ich nesleduje. Takýto systém poskytuje falošný pocit bezpečia a užitočný je až po incidente pri vyšetrovaní. Pred nákupom si treba ujasniť, kto bude upozornenia vyhodnocovať, v akom čase a podľa akého postupu reakcie na incident.

Pozor na náklady a ochranu údajov. Cena SIEM často závisí od objemu zbieraných dát, ktorý môže rýchlo rásť. Logy zároveň obsahujú osobné údaje zamestnancov a zákazníkov, preto treba určiť dobu uchovávania, prístupové práva a informovať zamestnancov o monitorovaní v súlade s GDPR.