Kas yra SIEM? Saugumo informacijos ir įvykių valdymas (angl. Security Information and Event Management) – tai technologija, kuri surenka, analizuoja ir koreliuoja saugumo duomenis iš įvairių organizacijos informacinių sistemų, suteikdama realaus laiko matomumą į galimas grėsmes. Pastaraisiais metais, kibernetinių atakų skaičiui ir sudėtingumui nuolat augant, šis įrankis tapo būtinu kiekvienos rimtos kibernetinio saugumo strategijos elementu.

Dabartiniame skaitmeniniame amžiuje organizacijos susiduria su vis sudėtingesnėmis grėsmėmis – nuo išorinių įsilaužėlių iki vidinių pažeidimų, o atakos tampa vis labiau pažangios ir sunkiai aptinkamos. SIEM sprendimai padeda organizacijoms susidoroti su šiais iššūkiais, suteikdami galimybę greitai identifikuoti, analizuoti ir reaguoti į saugumo incidentus.

Šiame straipsnyje sužinosite apie SIEM technologijos pagrindus, pagrindines funkcijas, naudą verslui, populiariausius panaudojimo atvejus, kaip SIEM lyginasi su kitais saugumo įrankiais ir kokios yra geriausios jo įgyvendinimo praktikos.

SIEM pagrindai

SIEM apibrėžimas apima du pagrindinius komponentus: saugumo informacijos valdymą (SIM) ir saugumo įvykių valdymą (SEM). Pagal Gartner apibrėžimą, SIEM yra technologija, kuri „suteikia realaus laiko analizę saugumo įspėjimams, sukurtiems tinklo įrenginių ir programų”. Šį apibrėžimą galima išplėsti, nes moderni SIEM sistema atlieka daug daugiau kompleksinių funkcijų.

Pagrindinė SIEM veikimo koncepcija sukasi aplink kelių esminių funkcijų vykdymą:
Abstract

  • Žurnalų rinkimas – SIEM renka žurnalų įrašus (logs) iš daugybės šaltinių, įskaitant tinklo įrenginius, saugumo kontrolę, serverius, programas ir debesų platformas.
  • Duomenų normalizavimas – Sistema standartizuoja surinktus duomenis į bendrą formatą, kad būtų galima juos efektyviai analizuoti.
  • Įvykių koreliacija – Viena svarbiausių SIEM savybių yra gebėjimas susieti įvykius iš skirtingų šaltinių, nustatant ryšius, kurie gali rodyti galimą saugumo incidentą.
  • Realaus laiko stebėjimas – SIEM nuolat stebi sistemą, kad aptiktų anomalijas ar įtartiną veiklą, kurios gali reikšti grėsmę.
  • Įspėjimai ir pranešimai – Aptikus galimą grėsmę, SIEM sukuria įspėjimus, kurie perduodami saugumo specialistams.

NIST (Nacionalinis standartų ir technologijų institutas) pabrėžia, kad SIEM yra neatsiejama organizacijos saugumo operacijų centro (SOC) dalis, leidžianti analizuoti tūkstančius įvykių per sekundę ir identifikuoti tuos, kurie reikalauja žmogaus dėmesio.

Visa tai leidžia organizacijoms efektyviai valdyti didžiulius saugumo duomenų kiekius ir operatyviai reaguoti į galimas grėsmes, kas anksčiau, turint tik atskirus saugumo įrankius, būtų neįmanoma.

Pagrindinės SIEM funkcijos ir architektūra

Šiuolaikiniai SIEM sprendimai yra sudaryti iš kelių pagrindinių komponentų, kurie kartu sukuria išsamią saugumo stebėjimo sistemą.
Enterprise
Supratimas apie šias funkcijas padeda organizacijoms įvertinti, kokio tipo SIEM sprendimas geriausiai atitiks jų poreikius.

  • Duomenų įtraukimas – Apima įvairių formatų žurnalų valdymą iš skirtingų šaltinių, įskaitant tinklo įrenginius, operacines sistemas, programinę įrangą ir debesijos paslaugas.
  • Duomenų saugojimas – SIEM sistemos turi saugoti didelius duomenų kiekius istorinei analizei ir atitikties užtikrinimui, dažnai naudojant specializuotas duomenų bazių technologijas.
  • Analitiniai įrankiai – Pažangi analitika, įskaitant mašininį mokymąsi ir dirbtinį intelektą, padeda aptikti sudėtingas grėsmes ir anomalijas.
  • Valdymo skydai ir vizualizacija – Interaktyvūs valdymo skydai, kurie suteikia realaus laiko saugumo būklės matymą ir leidžia greitai identifikuoti problemas.
  • Ataskaitų generavimas – Automatizuotas ataskaitų kūrimas atitikčiai reglamentams ir vidiniams auditams.
  • Grėsmių žvalgybos integravimas – Galimybė integruoti išorinius grėsmių žvalgybos šaltinius, kad būtų galima identifikuoti naujas ir besiformuojančias grėsmes.
  • Reagavimo į incidentus koordinavimas – Įrankiai, padedantys koordinuoti reagavimo į incidentus veiksmus, įskaitant darbo eigų automatizavimą.

Pagal Ponemon instituto tyrimą, organizacijos, kurios naudoja pažangius SIEM sprendimus, sumažina vidutinį saugumo incidento aptikimo laiką 53% ir paspartina reagavimą į incidentus 49%.

Populiariausi SIEM įrankiai rinkoje

Šiandieninėje rinkoje yra daugybė SIEM sprendimų, pritaikytų įvairaus dydžio ir įvairių pramonės šakų organizacijoms:

  • Splunk Enterprise Security – Vienas iš lyderių rinkoje, žinomas dėl savo galingų analizės ir vizualizacijos galimybių.
  • IBM QRadar – Patikimas SIEM sprendimas su integruotais grėsmių aptikimo pajėgumais.
  • LogRhythm NextGen SIEM – Visapusiškas sprendimas, apimantis SIEM, tinklo ir elgsenos analizę.
  • Elastic SIEM – Atviro kodo platforma, leidžianti lanksčiai kurti pritaikytus SIEM sprendimus.
  • Microsoft Sentinel – Debesijos SIEM sprendimas su integruotomis mašininio mokymosi galimybėmis.

Tarptautinė finansinių paslaugų bendrovė neseniai įdiegė Splunk Enterprise Security sprendimą ir sugebėjo per pirmąjį ketvirtį nustatyti bei sustabdyti pažangią APT (Advanced Persistent Threat) ataką, kuri tikėtina būtų likusi nepastebėta su ankstesnėmis saugumo sistemomis. Teisinio tyrimo metu nustatyta, kad operatoriai jau buvo prasiskverbę į sistemą 76 dienas, bet SIEM leido saugumo komandoms greitai identifikuoti pažeistus įrenginius ir apriboti žalą.

Pagrindiniai SIEM įgyvendinimo privalumai

SIEM technologijos integravimas į organizacijos saugumo strategiją suteikia įvairių privalumų, kurie padeda pagerinti bendrą saugumo būklę ir efektyvumą.
Infographic

  • Pagerintas grėsmių aptikimas – SIEM suteikia galimybę aptikti sudėtingas grėsmes, kurios gali likti nepastebėtos atskirose saugumo sistemose, analizuojant duomenis iš įvairių šaltinių ir nustatant neįprastus modelius.
  • Atitikties reikalavimų užtikrinimas – Automatizuotas atitikties ataskaitų teikimas pagal įvairius reglamentus, tokius kaip BDAR, PCI DSS, HIPAA, SOX ir kt.
  • Greitesnis reagavimas į incidentus – Automatizuoti įspėjimai ir prioritetizavimo funkcijos leidžia saugumo komandoms greitai reaguoti į reikšmingus įvykius.
  • Sumažintas grėsmės buvimo laikas – Greitas aptikimas reiškia, kad kenkėjiškos veiklos buvimo laikas (dwell time) sutrumpėja, mažinant potencialios žalos mastą.
  • Geresnis saugumo operacijų efektyvumas – Centralizuota platforma sumažina laiko sąnaudas, reikalingas skirtingų sistemų stebėjimui ir valdymui.
  • Geresnė įranga tyrimams – Istoriniai duomenys leidžia saugumo specialistams tirti incidentus ir geriau suprasti, kaip įvyko pažeidimas.
  • Didesnis organizacijos matomumas – Visapusis matomumas į organizacijos IT aplinką, įskaitant vietines sistemas, debesijos paslaugas ir hibridines architektūras.

SANS instituto apklausa parodė, kad 78% organizacijų, įdiegusių SIEM sprendimus, pranešė apie reikšmingą saugumo incidentų aptikimo laiko sumažėjimą, o 67% nurodė, kad pagerėjo jų gebėjimas prioritizuoti ir reaguoti į incidentus.

Dažniausi SIEM panaudojimo atvejai

SIEM sprendimai gali būti pritaikyti įvairiems scenarijams, nuo pagrindinės saugumo stebėsenos iki sudėtingų grėsmių medžioklės operacijų.
Conceptual
Šie panaudojimo atvejai iliustruoja SIEM vertę skirtingose srityse.

Vidinių grėsmių aptikimas

Vidinės grėsmės, kylančios iš darbuotojų ar rangovų, gali būti sunkiai aptinkamos tradicinėmis saugumo priemonėmis. SIEM sprendimai padeda identifikuoti įtartinus vidinius naudotojus šiais būdais:

  • Nustatant neįprastą prieigą prie duomenų ar sistemų ne darbo valandomis
  • Stebint masinio duomenų perkėlimo ar nenumatytų nuotolinio prisijungimo įvykius
  • Aptinkant privilegijų eskalavimą ar netipinę naudotojų elgseną
  • Identifikuojant neįprastus prisijungimo modelius ar dažnus nesėkmingus bandymus

Viename realaus pasaulio pavyzdyje, mažmeninės prekybos įmonė naudojo SIEM sistemą, kad aptiktų IT administratorių, kuris peržiūrėjo ir eksportavo konfidencialius klientų duomenis. SIEM sistema nustatė, kad administratoriaus veiksmai skiriasi nuo jo įprasto elgesio modelio, ir sukūrė įspėjimą, kuris padėjo užkirsti kelią duomenų nutekėjimui.

Brutalios jėgos ir PowerShell atakų stebėjimas

Šiuolaikinės atakos dažnai išnaudoja teisėtas sistemos priemones, pavyzdžiui, Microsoft PowerShell, arba bando pralaužti prieigos taškus naudodamos brutalios jėgos metodus:

  • SIEM gali nustatyti daugybę nesėkmingų prisijungimo bandymų, būdingų brutalios jėgos atakoms
  • Stebėti neįprastus PowerShell scenarijus ar komandas, kurios gali rodyti kenksmingą veiklą
  • Aptikti bandymus apeiti saugumo kontrolę naudojant sistemos įrankius
  • Identifikuoti įtartiną tinklo ryšį po sėkmingos brutalios jėgos atakos

Atitikties reikalavimų valdymas

Organizacijos, kurios dirba reglamentuojamose pramonės šakose, naudoja SIEM, kad įgyvendintų įvairius atitikties reikalavimus:

  • PCI DSS atitikties užtikrinimas – Stebėjimas ir duomenų apsaugos kontrolė, siekiant apsaugoti mokėjimo kortelių duomenis
  • BDAR reikalavimų valdymas – Asmens duomenų tvarkymo stebėjimas ir pranešimas apie galimus pažeidimus
  • HIPAA atitiktis – Sveikatos priežiūros duomenų prieigos ir naudojimo kontrolė
  • SOX audito įrodymų rinkimas – Finansinių duomenų prieinamumo ir vientisumo kontrolės mechanizmų užtikrinimas

Be to, SIEM sistemų generuojamos ataskaitos yra vertingi įrodymai auditoriams, rodantys, kad organizacija aktyviai stebi ir kontroliuoja savo sistemas.

Pažangių nuolatinių grėsmių (APT) aptikimas

APT atakos yra ilgalaikės kampanijos, kurias dažnai vykdo sofistikuoti pažeidėjai. SIEM padeda aptikti šias sudėtingas atakas:

  • Identifikuojant neįprastą tinklo srautą į žinomus kenkėjiškus IP adresus
  • Stebint įtartiną komandų ir kontrolės (C2) komunikaciją
  • Aptinkant lėtą, bet nuolatinį duomenų nutekėjimą
  • Nustatant neįprastą naudotojų autentifikavimą skirtingose geografinėse vietovėse

SIEM sprendimai taip pat gali būti labai naudingi kitose srityse, tokiose kaip prietaisų valdymo stebėjimas, tinklo anomalijų aptikimas ir saugumo kontrolės efektyvumo vertinimas, suteikiant organizacijoms išsamų požiūrį į jų saugumo būklę.

SIEM ir kiti saugumo įrankiai: kaip SIEM papildo EDR ir užkardas

Organizacijų saugumo strategiją paprastai sudaro kelių apsaugos priemonių sluoksnių kombinacija.
Layered
Svarbu suprasti, kaip SIEM sąveikauja ir papildo kitas saugumo technologijas.

SIEM vs. EDR (Endpoint Detection and Response) palyginimas atskleidžia svarbius skirtumus ir papildomumus:

  • Fokuso sritis:
    • SIEM: plataus masto sprendimas, apimantis visą infrastruktūrą, įskaitant tinklus, programas ir sistemas
    • EDR: koncentruojasi į galutinių taškų (kompiuterių, serverių) stebėjimą ir apsaugą
  • Duomenų šaltiniai:
    • SIEM: renka ir analizuoja duomenis iš visų organizacijos IT aplinkos dalių
    • EDR: specializuojasi galinių taškų elgsenos analizėje ir anomalijų aptikime
  • Reagavimo galimybės:
    • SIEM: daugiausia orientuotas į aptikimą, įspėjimą ir analizę
    • EDR: turi integruotas reagavimo galimybes, leidžiančias izoliuoti įrenginius ar blokuoti procesus

SIEM ir užkardų (firewalls) santykis parodo kitą svarbų saugumo priemonių papildomumą:

  • Užkardos veikia kaip perimetro apsauga, filtruodamos įeinantį ir išeinantį tinklo srautą
  • SIEM surenka užkardų žurnalus ir integruoja juos su kitais duomenų šaltiniais, kad būtų galima aptikti sudėtingesnius saugumo įvykius
  • Kartu jie sukuria gilesnį saugumo sluoksnį, kur užkardos blokuoja žinomas grėsmes, o SIEM aptinka tas, kurios prasiskverbia pro perimetrą

Daugialypio saugumo kontekste SIEM tarnauja kaip centrinis elementas, sujungiantis duomenis iš įvairių saugumo įrankių:

  • Saugumo integracija leidžia organizacijoms matyti visapusį vaizdą vienoje konsolidavimo platformoje
  • Papildomi įrankiai kartu sudaro visapusišką apsaugą: užkardos filtruoja srautą, antivirusai nustato kenkėjišką programinę įrangą, EDR saugo galinius taškus, o SIEM visa tai sujungia ir analizuoja
  • Sluoksniuotas saugumas užtikrina, kad vienos priemonės nesėkmės atveju kitos priemonės vis tiek galėtų aptikti ir užblokuoti grėsmę

Idealiu atveju, organizacijos turėtų naudoti tiek SIEM, tiek EDR, tiek kitas saugumo priemones kaip visapusišką strategiją, o ne kaip vieną ar kitą pasirinkimą. Kiekvienas įrankis turi savo stipriąsias puses, ir jų integracija sukuria tvirtesnę bendrą apsaugą.

Geriausia SIEM įgyvendinimo ir optimizavimo praktika

Sėkmingas SIEM diegimas reikalauja strateginio planavimo ir nuolatinio tobulinimo.
Step-by-step
Organizacijos gali maksimizuoti savo SIEM investicijų vertę, laikydamosi šių geriausių praktikų.

Gartner rekomenduoja keturių etapų SIEM brandos modelį, kuris gali padėti organizacijoms nuosekliai tobulinti savo SIEM galimybes:

  1. Pradinis etapas: Bazinis log’ų rinkimo ir stebėjimo funkcionalumas
  2. Vystymosi etapas: Pagrindinių saugumo įvykių koreliacija ir įspėjimai
  3. Apibrėžtas etapas: Pažangesnė analitika ir integracija su grėsmių žvalgybos šaltiniais
  4. Optimizuotas etapas: Automatizuotas reagavimas, mašininis mokymasis ir proaktyvi grėsmių medžioklė

Štai pagrindiniai žingsniai sėkmingam SIEM įgyvendinimui:

  • Aiškių tikslų apibrėžimas: Nustatykite konkrečius SIEM įdiegimo tikslus, ar tai būtų atitikties reikalavimų vykdymas, grėsmių aptikimas ar saugumo operacijų efektyvumo didinimas.
  • Duomenų šaltinių atranka: Pradėkite nuo svarbiausių duomenų šaltinių ir palaipsniui plėskite apimtį. Prioritizuokite kritines sistemas ir turinčias aukščiausią riziką.
  • Įspėjimų optimizavimas: Sukurkite taisykles, kurios generuotų prasmingus įspėjimus ir sumažintų klaidingų teigiamų rezultatų skaičių. Reguliariai peržiūrėkite ir tobulinkite šias taisykles.
  • Klaidingų ispėjimų mažinimas: Nustatykite pradinius pagrindus normaliai veiklai ir naudokite kontekstinę informaciją, kad atskirtumėte tikras grėsmes nuo nekenksmingų anomalijų.
  • SIEM mastelio keitimas: Planuokite sistemos augimą, atsižvelgdami į didėjančius duomenų kiekius ir išplėstą stebėjimo apimtį.
  • Komandos mokymas: Investuokite į saugumo komandos mokymus, kad jie galėtų efektyviai naudoti SIEM įrankius ir interpretuoti rezultatus.
  • Nuolatinis tobulinimas: Reguliariai peržiūrėkite SIEM efektyvumą ir atnaujinkite strategiją, atsižvelgdami į naujus grėsmių vektorius ir organizacijos pokyčius.

SANS instituto rekomenduoja, kad organizacijos, įgyvendinančios SIEM, reguliariai atliktų „sveikatos patikrinimus”, vertindamos tokius aspektus kaip duomenų rinkimo pilnumas, įspėjimų kokybė ir reagavimo laikai.

Svarbu sukurti standartinius veiklos procesus (SOPs) saugumo komandoms, kad būtų galima nuosekliai ir efektyviai reaguoti į SIEM sugeneruotus įspėjimus. Tai apima incidentų kategorijų apibrėžimą, eskalavimo procedūras ir dokumentavimo reikalavimus.

Išvada

Kas yra SIEM? Tai ne tik technologija, bet ir esminis strateginis elementas šiuolaikinėje kibernetinio saugumo aplinkoje. SIEM suteikia organizacijoms neįkainojamą matomumą ir analizės galimybes, kurios būtinos norint efektyviai kovoti su vis besivystančiomis kibernetinėmis grėsmėmis.

Nuo pagrindinių žurnalų valdymo funkcijų iki pažangios įvykių koreliacijos ir grėsmių žvalgybos integracijos, SIEM sprendimai evoliucionavo į visapusiškas platformas, kurios gali transformuoti organizacijos saugumo operacijas. Jie ne tik padeda aptikti ir reaguoti į incidentus, bet ir užtikrina atitiktį reglamentams, mažina riziką ir gerina bendrą saugumo būklę.

Norint pasiekti maksimalią naudą iš SIEM investicijų, organizacijos turėtų laikytis struktūruoto požiūrio: pradėti nuo aiškių tikslų nustatymo, prioritetizuoti svarbiausius duomenų šaltinius ir nuolat tobulinti sistemas bei procesus. Svarbu prisiminti, kad SIEM nėra „įdiegk ir pamiršk” sprendimas – tai nuolatinis procesas, reikalaujantis priežiūros, tobulinimo ir adaptacijos.

Atsižvelgiant į nuolat besikeičiantį grėsmių kraštovaizdį, SIEM lieka vienu iš svarbiausių įrankių organizacijų arsenale, padedantis išlikti žingsniu priekyje prieš potencialius įsilaužėlius. Nepriklausomai nuo organizacijos dydžio ar pramonės šakos, tinkamas SIEM sprendimo pasirinkimas ir įgyvendinimas gali reikšmingai sustiprinti saugumo poziciją ir suteikti ramybę sudėtingame skaitmeniniame pasaulyje.

Dažniausiai užduodami klausimai

Kokius duomenis renka SIEM?

SIEM sistemos renka įvairių tipų duomenis, įskaitant tinklo įrenginių žurnalus, užkardų įrašus, antivirusinių programų pranešimus, sistemų įvykių žurnalus, aplikacijų žurnalus, autentifikacijos duomenis, IDS/IPS įspėjimus, serverių veiklos įrašus ir debesijos platformų saugumo duomenis. SIEM išskirtinumas yra gebėjimas sujungti šiuos skirtingus duomenų šaltinius į vieningą vaizdą.

Kiek ilgai SIEM turėtų saugoti žurnalus atitikties reikalavimams?

Žurnalų išsaugojimo laikotarpis skiriasi priklausomai nuo pramonės ir taikomų reglamentų. PCI DSS reikalauja mažiausiai 1 metų istorijos, HIPAA rekomenduoja 6 metus, o BDAR konkrečiai nenurodo laiko, bet akcentuoja gebėjimą patikrinti duomenų tvarkymo operacijas. Daugelis organizacijų išsaugo žurnalų įrašus nuo 12 iki 24 mėnesių, atsižvelgdamos į atitikties reikalavimus ir potencialių ilgalaikių atakų aptikimo poreikius.

Ar mažoms įmonėms naudinga SIEM sistema?

Taip, mažos įmonės taip pat gali gauti naudos iš SIEM sistemų, ypač atsižvelgiant į didėjantį kibernetinių atakų skaičių prieš mažesnes organizacijas. Šiandien rinkoje yra SIEM sprendimų, specialiai pritaikytų mažesnėms organizacijoms, įskaitant debesimi pagrįstus modelius, kurie sumažina pradines investicijas ir valdymo sudėtingumą. Be to, mažos įmonės gali apsvarstyti valdomų saugumo paslaugų teikėjų (MSSP) paslaugas, kurie gali teikti SIEM funkcionalumą kaip paslaugą.

Koks yra tipinis SIEM diegimo ROI laikotarpis?

SIEM investicijų grąžos (ROI) laikotarpis paprastai svyruoja nuo 6 iki 18 mėnesių, priklausomai nuo įgyvendinimo apimties ir organizacijos brandos. Ankstyvosios grąžos dažniausiai pasireiškia per efektyvesnį atitikties užtikrinimą, sumažintą rankinį darbą ir greitesnį incidentų aptikimą. Ilgalaikė ROI atsiranda sumažėjus sėkmingų saugumo pažeidimų skaičiui ir jų poveikiui, taip pat per geresnį IT operacijų efektyvumą ir sumažėjusį vidutinį grėsmių buvimo laiką sistemose.

Kaip sumažinti klaidingų teigiamų rezultatų skaičių SIEM sistemose?

Klaidingų teigiamų rezultatų mažinimas yra svarbiausias iššūkis SIEM efektyvumui. Efektyvūs metodai apima: bazinių normalios veiklos modelių nustatymą, kontekstinės informacijos įtraukimą į įspėjimų logiką, įspėjimų taisyklių nuolatinį tobulinimą remiantis gautais rezultatais, mašininio mokymosi algoritmų naudojimą anomalijų aptikimui ir įspėjimų prioritetizavimo mechanizmų įdiegimą. Rekomenduojama periodiškai peržiūrėti dažniausiai pasitaikančius klaidingus teigiamus rezultatus ir atitinkamai koreguoti taisykles.

Turite klausimų kaip tinkamai apsaugoti verslą?

Pasikalbėkime, kaip mūsų sprendimai gali padėti jūsų įmonei apsisaugoti nuo potencialių pavojų.

Nelaukite! Kreipkitės jau dabar!

Atlikite nemokamą IT ūkio testą

verslui@itbites.lt arba +37065922259