- Ang isang SIEM ay nagsesentralisa, nag-o-normalize, at nag-uugnay ng mga talaan mula sa maraming mapagkukunan upang magbigay ng komprehensibong pananaw sa seguridad.
- Pinagsasama nito ang real-time na pagsubaybay, historical analysis, threat intelligence, at automated na tugon.
- Ito ay mahalaga sa maagang pagtuklas ng mga insidente, pagpapadali ng forensic analysis, at pagsunod sa mga regulasyon tulad ng NIS2 o ISO 27001.
- Sa mga kapaligirang IT at OT na mahusay na naisama sa isang SOC, pinapayagan nito ang pagpapalawak ng depensa laban sa mga kumplikadong banta gamit ang maliliit na pangkat.
Sa anumang kumpanyang may katamtamang koneksyon, ang bilang ng mga security log at event na nalilikha bawat segundo ay kahanga-hanga. Kung walang tool para isaayos ang data na ito, imposibleng malaman kung ano talaga ang nangyayari sa network, matukoy ang mga pag-atake sa tamang oras, o maipakita ang pagsunod sa mga regulasyon sa seguridad.
Dito pumapasok ang SIEM: isang teknolohiyang idinisenyo upang mangalap, mag-ugnay, at magsuri ng lahat ng datos ng seguridad na nagmumula sa mga server, user, application, network, cloud, OT device, at marami pang iba. Kapag maayos na naipatupad at naisama sa isang SOC, ang SIEM ay nagiging pangunahing bahagi para sa paglipat mula sa simpleng pag-apula ng mga sunog patungo sa pagkakaroon ng organisado at proaktibong depensa sa cyber.
Ano ang SIEM at saan nagmula ang konseptong ito?
Kapag pinag-uusapan natin ang SIEM, tinutukoy natin ang Impormasyon sa Seguridad at Pamamahala ng Kaganapan , ibig sabihin, ang pamamahala ng impormasyon at mga kaganapan sa seguridad. Hindi ito isang bagong ideya lamang, kundi ang kombinasyon ng dalawang naunang pamamaraan: SIM (Pamamahala ng Impormasyon sa Seguridad) at SEM (Pamamahala ng Kaganapan sa Seguridad), na dating tinatrato nang hiwalay.
Sa isang banda, ang bahagi ng SEM ay nakatuon sa real-time na pagsubaybay , ugnayan ng kaganapan, mga alerto, at mga operational dashboard na ginagamit araw-araw ng mga analyst ng SOC. Ito ang pinaka-"live" na aspeto, na nagbibigay-daan sa iyong makita nang eksakto kung ano ang nangyayari ngayon sa imprastraktura.
Sa kabilang banda, ang bahaging SIM ang humahawak sa makasaysayang pamamahala ng impormasyon sa seguridad : pangmatagalang pag-iimbak ng log , mga advanced na kakayahan sa paghahanap, pagbuo ng ulat, at suporta para sa forensic analysis. Salamat sa bahaging ito, posibleng muling buuin ang nangyari sa isang insidente pagkalipas ng ilang linggo o buwan.
Pinag-iisa ng modernong SIEM ang dalawang aspetong ito at nagsisilbing pangunahing kasangkapan sa isang Security Operations Center (SOC) , kapwa sa tradisyonal na mga kapaligirang IT at sa mga industriyal na OT o SCI network. Mula roon, natutukoy ang mga insidente, inaayos ang mga tugon, nabubuo ang mga ulat sa pagsunod, at napapanatili ang isang komprehensibong pananaw sa panganib.
Paano gumagana ang isang SIEM: mula sa pagpaparehistro hanggang sa kapaki-pakinabang na alerto
Ang isang epektibong sistema ng SIEM ay umaasa sa isang mahusay na natukoy na kadena ng mga proseso na nagbabago ng mga hilaw na log tungo sa magagamit na impormasyon para sa mga pangkat ng seguridad. Hindi lamang ito tungkol sa pag-iimbak ng mga log , kundi tungkol din sa pagbibigay ng konteksto at pagbibigay-priyoridad sa mga ito.
Una, ang SIEM ay kumokonekta sa iba't ibang uri ng mga mapagkukunan ng datos na nakakalat sa buong imprastraktura ng IT: mga server, operating system , firewall, IDS/IPS, EDR at mga solusyon sa antivirus, mga aplikasyon sa negosyo, mga database , mga serbisyo sa cloud, mga aparato sa network (mga switch, router, load balancer), mga tool sa malayuang pag-access, mga sistema ng pagpapatotoo at pagkakakilanlan, atbp.
Bukod sa mga tradisyunal na IT asset, ang isang advanced na SIEM ay maaaring tumanggap ng mga kaganapan mula sa mga OT environment at mga industrial workload , isang bagay na lalong kinakailangan sa mga production plant, kritikal na imprastraktura, at mga industrial control network. Maaari rin itong isama sa mga email security platform, mobility solution, virtualization system, at mga container.
Sa yugtong ito, lahat ng mga log na ito ay kinokolekta nang tuluy-tuloy at sentralisado , karaniwang gumagamit ng mga ahente, native connector, syslog, API, o mga koleksyon batay sa mga karaniwang protocol. Ang layunin ay magkaroon ng isang "control tower" kung saan nagtatagpo ang lahat ng kaugnay na datos ng seguridad.
Ang susunod na hakbang ay ang pagsasama-sama at normalisasyon ng impormasyon. Ang bawat tagagawa ay bumubuo ng sarili nitong mga format ng log, na may iba't ibang field, istruktura, at pangalan, na magiging dahilan upang maging imposibleng iugnay ang mga ito kung hahayaan nang ganito.
Upang matugunan ito, pinag-iisa ng SIEM ang mga log sa isang karaniwang modelo, na inaayos ang mga field tulad ng user, source IP, destination IP, normalized date at time, event type, severity, source device, atbp. Ang pagkakaparehong ito ay nagbibigay-daan para sa paghahambing ng nangyayari sa isang firewall sa nangyayari sa isang server o sa isang cloud application nang hindi pinaghahambing ang mga bagay-bagay.
Kapag ang SIEM ay mayroon nang magkakaugnay na dataset, ilalapat nito ang mga patakaran sa pagsusuri at mga panuntunan sa ugnayan . Ang mga patakarang ito ay maaaring mga static na panuntunan (halimbawa, isang partikular na pattern ng mga nabigong pagtatangka sa pag-login) o mas kumplikadong lohika na pinagsasama ang iba't ibang uri ng tila magkakahiwalay na mga kaganapan.
Maraming SIEM ang gumagamit din ng artificial intelligence at machine learning techniques upang matukoy ang mga abnormal na pag-uugali na hindi akma sa mga tipikal na pattern. Dito rin ginagamit ang UEBA (User and Entity Behavior Analytics), na sinusuri ang aktibidad ng user at device upang matuklasan ang mga makabuluhang paglihis na maaaring magmungkahi ng mga banta mula sa loob o mga kompromiso sa account.
Kung, bilang resulta ng pagsusuring ito, makakakita ang sistema ng mga indikasyon ng isang pag-atake o kahina-hinalang pag-uugali, bubuo ito ng mga alerto na inuri ayon sa kalubhaan at ipinapakita ang mga ito sa mga sentralisadong dashboard. Ang mga alertong ito ay karaniwang isinama sa mga tool sa pag-ticket, pagmemensahe sa korporasyon, at mga awtomatikong sistema ng pagtugon upang ang SOC ay makapag-imbestiga at mabilis na kumilos.
Mga pangunahing bahagi at kakayahan ng isang modernong SIEM
Ang kapangyarihan ng isang SIEM ay pinakamahusay na mauunawaan sa pamamagitan ng paghihiwalay ng mga pangunahing functional module nito , na nagtutulungan upang magbigay ng pinakakumpletong posibleng saklaw ng seguridad sa organisasyon.
Una ay ang pamamahala ng mga rekord , na sumasaklaw sa lahat mula sa pagkolekta sa pinagmulan hanggang sa pangmatagalang pagpapanatili. Kabilang dito ang pagpapasya kung ano ang itatago, kung gaano katagal, at kung gaano kadetalyado ang mga detalye, isinasaalang-alang ang parehong mga pangangailangan sa operasyon at mga obligasyon sa regulasyon.
Ang isa pang mahalagang elemento ay ang ugnayan ng kaganapan . Ito ang kakayahan ng SIEM na pagdugtungin ang mga tuldok na, nang paisa-isa, ay maaaring hindi mukhang makabuluhan. Halimbawa, ang isang pag-login mula sa isang hindi pangkaraniwang lokasyon na sinundan ng pagdami ng trapiko sa isang sensitibong server ay maaaring magmukhang mga hindi magkakaugnay na kaganapan kapag tiningnan gamit ang mga nakahiwalay na tool, ngunit para sa isang mahusay na naayos na SIEM, bahagi sila ng iisang kwento.
Kasabay nito, ang SIEM ay umaasa sa mga panlabas na mapagkukunan ng impormasyon tungkol sa banta (mga feed ng reputasyon, mga tagapagpahiwatig ng kompromiso, mga blacklist ng mga malisyosong IP at domain, mga lagda ng malware , atbp.). Sa pamamagitan ng pag-cross-reference ng panloob na impormasyon sa mga pandaigdigang tagapagpahiwatig na ito, mabilis nitong makikilala ang mga pattern na nakategorya na bilang malisyoso sa ibang mga kapaligiran.
Ang mga dashboard ang bumubuo sa patong ng visualization at patuloy na pagsubaybay . Nagbibigay ang mga ito ng mga pananaw ng ehekutibo, mga sukatan ng pagsunod, mga tsart ng trend, at mga real-time na teknikal na pananaw para sa mga analyst ng SOC. Nagbibigay-daan ito para sa pagsubaybay sa katayuan ng seguridad sa isang sulyap at pagsusuri sa mga detalye kung kinakailangan.
Panghuli, maraming SIEM ang nagsasama o kumokonekta sa mga kakayahan sa awtomatikong pagtugon . Sa aspetong ito, ang pagsasama sa mga platform ng SOAR ay nagbibigay-daan para sa pagpapatupad ng mga paunang natukoy na playbook: paghihiwalay ng mga nakompromisong makina, pagharang sa mga IP address, pag-disable ng mga account, pagbabago ng mga panuntunan sa firewall, o pag-activate ng mga containment tool—lahat sa loob lamang ng ilang segundo at may kaunting interbensyon ng tao.
Mga Bentahe ng Pag-deploy ng SIEM sa Organisasyon
Isa sa mga malalaking bentahe ng SIEM ay ang pagbibigay-daan nito para sa isang komprehensibo at pinag-isang pananaw sa kung ano ang nangyayari sa loob ng imprastraktura ng seguridad. Sa mga kapaligiran kung saan magkakasamang nagsasama-sama ang mga data center, cloud computing, remote work, mga mobile device , at mga industrial network, halos imposibleng makamit ang kakayahang makitang ito gamit ang mga nakahiwalay na tool.
Dahil sa real-time analysis at correlation, ang isang mahusay na SIEM ay nagpapadali sa maagang pagtuklas ng mga insidente . Matutukoy nito ang isang nagaganap na pag-atake habang ito ay nasa mga unang yugto pa lamang, na nagbibigay ng oras upang harangan ito bago ito maging isang malubhang paglabag o makaapekto sa produksyon o kritikal na datos.
Bukod sa live detection, ang kakayahang mag-imbak ng mga log nang ilang buwan o taon ay nagbibigay-daan sa detalyadong forensic analysis . Pagkatapos ng isang insidente, maaaring muling buuin ng security team ang kadena ng mga pangyayari, maunawaan kung saan pumasok ang attacker, anong mga lateral movement ang kanilang ginawa, at kung aling mga sistema ang nakompromiso—susi sa pagpapabuti ng mga kontrol at pagpigil sa pag-ulit.
Isa pang malinaw na bentahe ay ang sentralisasyon ng impormasyon sa seguridad . Sa halip na kailangang mag-access ng dose-dosenang iba't ibang console at format, ang mga analyst ay nagtatrabaho sa iisang plataporma na pinagsasama-sama ang mga kaugnay na impormasyon. Binabawasan nito ang manu-manong pagsisikap, pinapasimple ang pamamahala, at pinipigilan ang pagkawala ng mahahalagang signal sa gitna ng ingay.
Sa antas ng operasyon, ang SIEM ay nakakatulong sa pagtitipid ng mga mapagkukunan at mas mataas na kahusayan para sa mga pangkat ng seguridad. Dahil sa automation ng mga paulit-ulit na gawain, pagsala ng mga maling positibo, at pagbibigay-priyoridad sa mga alerto, ang mga analyst ay maaaring maglaan ng mas maraming oras sa mga mahahalagang gawain tulad ng proactive threat hunting o pagpapabuti ng mga panuntunan sa pagtuklas.
SIEM sa mga pang-industriya at SCI na kapaligiran: mga partikular na hamon
Kapag inililipat natin ang mga kakayahang ito sa mundo ng OT o mga industrial control system (ICS) , nagiging mas kumplikado ang mga bagay-bagay. Ang mga operational technology network ay may ibang-iba na katangian kumpara sa mga katangian ng isang tipikal na IT environment, at direktang nakakaapekto ito sa kung paano dapat i-deploy ang isang SIEM.
Isa sa mga unang hamon ay ang napakahabang lifecycle ng maraming industrial device. Karaniwang makahanap ng mga kagamitang ilang dekada nang ginagamit, na may mga lumang hardware at operating system, at sa maraming pagkakataon, walang katutubong kakayahang bumuo o magpadala ng mga standardized security log.
Bukod pa rito, ang mga aparatong ito ay may limitadong kakayahan , na idinisenyo upang maisagawa nang maayos ang isang partikular na gawain (pagkontrol sa isang proseso, balbula, linya ng produksyon) at halos wala nang iba pa. Ang pagkarga sa mga ito ng mga ahente, scan, o masinsinang proseso ng pag-log ay maaaring negatibong makaapekto sa kanilang katatagan, kaya ang diskarte sa pagsubaybay ay dapat na maging lubhang maingat.
Isa pang kritikal na salik ay ang kakulangan ng detalyadong mga tala ng seguridad sa maraming sistema ng automation ng industriya. Pinipilit nito ang mga kumpanya na umasa sa mga elementong tagapamagitan (mga gateway, mga firewall ng industriya, mga probe ng network) upang makabuo ng mga kaganapan na magpapakain sa SIEM, o kahit na mag-deploy ng mga partikular na sensor para sa mga protocol ng industriya.
Panghuli, hindi maaaring balewalain ang pangangailangan para sa mga espesyalisadong tauhan ng OT sa loob ng SOC. Ang pagbibigay-kahulugan sa mga kaganapan sa mga protokol ng industriya, pag-unawa sa kahalagahan ng ilang partikular na asset, o pagtatasa ng epekto ng isang alerto sa isang planta ng produksyon ay hindi isang bagay na maaaring matutunan sa isang iglap.
Para makapagbigay ng tunay na halaga ang isang SIEM sa isang industrial network, mahalaga ang isang detalyadong pag-aaral ng mga asset, komunikasyon, at topolohiya . Kinakailangang tukuyin kung aling mga sistema ang pinakamahalaga sa proseso, kung aling mga segment ng network ang pinakasensitibo, at kung aling mga monitoring point ang magagawa nang hindi naaapektuhan ang mga operasyon. Mula roon, ang impormasyong ipinapadala sa SIEM ay tinutukoy, pati na rin kung paano ito nio-normalize upang maging tunay na kapaki-pakinabang.
Pagsamahin ang SIEM sa IT SOC at mga hybrid na kapaligiran
Sa maraming kumpanya, umiiral na ang SOC na namamahala sa seguridad ng IT ng korporasyon , ito man ay in-house o isang outsourced na SOC . Kapag kailangan ding subaybayan ang kapaligirang pang-industriya, isang karaniwang opsyon ang lumikha ng isang "hybrid SOC" kung saan ang SIEM ay tumatanggap ng mga kaganapan mula sa parehong corporate network at OT network.
Sa modelong ito, mahalaga na ang mga kaganapang pang-industriya ay hindi tratuhin nang katulad ng mga kaganapan sa IT . Ang mga prayoridad, kahihinatnan, at panganib na nauugnay sa isang PLC o isang HMI ay hindi katulad ng sa isang mail server. Samakatuwid, dapat lumikha ng mga partikular na kaso ng paggamit at mga panuntunan sa ugnayan para sa kapaligirang OT.
Mahalaga rin na ang bawat antas ng SOC ay may mga tauhang may totoong kaalaman sa mga network ng operasyon . Kung hindi, may panganib na maling interpretasyon ng mga alerto, labis na reaksyon sa mga normal na kaganapan sa operasyon, o, sa kabaligtaran, mabawasan ang mga insidente na, sa isang industriyal na kapaligiran, ay maaaring magkaroon ng napakalubhang epekto.
Kung ang SOC ay outsourced, ang arkitektura ng network na nagkokonekta sa imprastraktura ng kliyente sa provider ay dapat garantiyahan ang ligtas at segmented na komunikasyon . Kabilang dito ang mga naka-encrypt na tunnel, mahigpit na kontrol sa pag-access, segmentasyon sa pagitan ng IT at OT, at napakalinaw na mga patakaran sa kung anong data ang ipinapadala sa labas at para sa anong layunin.
Higit pa sa sektor ng industriya, ang mga pangunahing plataporma ng seguridad ay umunlad at naging mga ecosystem kung saan ang SIEM ay isa lamang bahagi sa loob ng isang pinag-isang kapaligiran ng SecOps , na isinasama ang XDR, mga endpoint agent, orchestration, at response automation. Ang layunin ay bigyan ang mga analyst ng komprehensibong pag-unawa sa kung ano ang nangyayari sa mga endpoint, server, email, mga pagkakakilanlan, mga network, cloud, OT, at mga pandaigdigang mapagkukunan ng katalinuhan sa loob ng iisang balangkas.
Mga praktikal na kaso ng paggamit at mga benepisyo sa negosyo
Sa pang-araw-araw na operasyon ng isang SOC, ang SIEM ang nagiging pangunahing punto ng imbestigasyon tuwing may pinaghihinalaang insidente. Sa halip na humiling ng mga log mula sa iba't ibang mga koponan, sinisimulan ng analyst ang imbestigasyon mula sa SIEM, hinahanap ang mga kaugnay na kaganapan at sinasala ayon sa user, IP address, saklaw ng oras, o uri ng alerto.
Ang kakayahan sa korelasyon ay nagbibigay-daan din para sa pagtuklas ng aktibidad na, nang mag-isa, ay maaaring mukhang hindi nakakapinsala . Halimbawa, ang isang serye ng mga maliliit na error sa pagpapatotoo sa isang VPN , isang biglaang pagtaas ng trapiko sa isang internal server, at isang hindi inaasahang pagbabago sa patakaran ng firewall ay maaaring maging bahagi ng iisang pag-atake, isang bagay na awtomatikong maaaring i-highlight ng SIEM.
Isa pang mahalagang gamit ay ang pagsunod sa mga regulasyon at mga pag-awdit . Maraming regulasyon (tulad ng NIS2, ISO/IEC 27001, PCI-DSS, o ang GDPR mismo sa konteksto ng Europa) ang nangangailangan ng pagpapanatili ng mga detalyadong talaan ng pag-access, mga insidente, at mga ipinatupad na hakbang sa seguridad. Lubos na pinapadali ng SIEM ang pagbuo ng mga ulat, ebidensya, at dokumentasyon na nagpapakita na inilalapat ng organisasyon ang mga kinakailangang kontrol.
Tungkol sa patuloy na pagpapabuti, ang kasaysayan ng kaganapan na pinapanatili ng SIEM ay napakahalaga para sa pagpino ng mga patakaran, pagsasaayos ng mga patakaran, at pagbabawas ng mga maling positibo . Sa pamamagitan ng pagsusuri sa mga pattern at resulta mula sa mga nakaraang insidente, ang mga modelo ng pagtuklas ay maaaring iakma upang maging lalong pino at epektibo laban sa mga advanced na pag-atake pati na rin ang mga banta ng insider.
Panghuli, sa pamamagitan ng pagsasama-sama ng mga kakayahan sa pagsubaybay, ugnayan, automation, at pag-uulat, pinapayagan ng SIEM ang medyo maliliit na pangkat ng seguridad na palawakin ang kanilang mga kakayahan sa proteksyon sa mga napakakumplikadong kapaligiran, isang bagay na hindi maiisip kung kailangan nilang manu-manong suriin ang bawat mapagkukunan ng log at pamahalaan ang bawat alerto nang hiwalay.
Ang pagpapatupad ng isang mahusay na laki ng SIEM na nakahanay sa SOC ay nagbabago sa kaguluhan ng milyun-milyong pang-araw-araw na kaganapan tungo sa isang nakabalangkas, inuuna, at naaaksyunang pananaw sa seguridad ng organisasyon, na tumutulong upang mapigilan ang mga insidente sa totoong oras, matuto mula sa mga ito, at matugunan ang tumataas na mga pangangailangan sa regulasyon.
Masigasig na manunulat tungkol sa mundo ng mga byte at teknolohiya sa pangkalahatan. Gustung-gusto kong ibahagi ang aking kaalaman sa pamamagitan ng pagsusulat, at iyon ang gagawin ko sa blog na ito, ipakita sa iyo ang lahat ng mga pinaka-kagiliw-giliw na bagay tungkol sa mga gadget, software, hardware, teknolohikal na uso, at higit pa. Ang layunin ko ay tulungan kang mag-navigate sa digital na mundo sa simple at nakakaaliw na paraan.