SIEM

Що це означає

SIEM, від англійського security information and event management, - система управління інформацією та подіями безпеки. Вона збирає записи, тобто логи, з багатьох джерел: серверів, робочих станцій, міжмережевих екранів, застосунків, хмарних сервісів, систем входу й антивірусів. Дані зберігаються в одному місці, зводяться до єдиного формату, і в них можна шукати.

Ключова функція - кореляція, тобто пошук зв'язків між подіями з різних джерел. Окремі події можуть виглядати безневинно, але разом утворюють підозрілий шаблон, наприклад кілька невдалих входів, потім успішний вхід з іншої країни й завантаження великого обсягу даних. SIEM попередить про таку ситуацію.

SIEM - технічна основа моніторингу безпеки. Але самої системи недостатньо, хтось має оцінювати сповіщення й реагувати. Команда, яка цим займається, називається SOC. SIEM водночас слугує архівом журналів аудиту для розслідування інцидентів і підтвердження відповідності нормам.

Як це працює на практиці

Для фірм, на які поширюється NIS2 і словацький закон про кібербезпеку, реєстрація й аналіз подій безпеки - одна з обов'язкових сфер. SIEM або сервіс, що його надає, допомагає виконати вимоги щодо виявлення, повідомлення про інциденти в короткі строки й зберігання записів.

Малі й середні фірми зазвичай не можуть дозволити собі власний SIEM і цілодобову команду. Рішення - послуга керованого виявлення від зовнішнього постачальника, який веде SIEM і SOC для кількох клієнтів. Фірма платить щомісяця й отримує сповіщення лише про справді важливі події з порадою, що робити.

Під час впровадження важливо обрати правильні джерела. Починають із найчутливіших систем: вхід і управління ідентифікацією, пошта, EDR на кінцевих пристроях, міжмережевий екран і ключові застосунки. Правила виявлення треба налаштовувати, щоб система не видавала тисячі хибних тривог, які ніхто не встигне перевірити.

На що звернути увагу

Найчастіша помилка - SIEM, до якого збирають записи, але ніхто за ними не стежить. Така система дає хибне відчуття безпеки й корисна лише після інциденту під час розслідування. Перед купівлею треба вирішити, хто оцінюватиме сповіщення, у які строки й за яким порядком реагування на інцидент.

Увага до витрат і захисту даних. Ціна SIEM часто залежить від обсягу зібраних даних, який може швидко зростати. Логи також містять персональні дані працівників і клієнтів, тому треба визначити строк зберігання, права доступу й повідомити працівників про моніторинг відповідно до GDPR.