Mitä ongelmaa yrität ratkaista?
Eri SIEM -projektit alkavat eri syistä. Yksi organisaatio saattaa tarvita keskitettyä näkyvyyttä; toinen saattaa tarvita tarkempia tutkimuksia. Saattaa olla, että yritetään parantaa havaitsemisen peittoa hajanaisessa ympäristössä; toinen voi johtua raportoinnista, tietojen säilyttämisestä tai tarkastuksesta.
Jos lähtökohta on epämääräinen, arvio on yleensä myös epämääräinen. SIEM tulisi valita selkeästi määriteltyä toiminnallista tarvetta vastaan, ei yleistä käsitystä siitä, miltä SOC työkalun pitäisi näyttää.
Voiko se käyttää oikeaa dataa?
SIEM on vain niin hyödyllinen kuin se telemetria voi kerätä ja tehdä käyttökelpoiseksi. Tämä tarkoittaa, että tarkastellaan ympäristöllesi tärkeimpiä järjestelmiä: päätepisteet, identiteettilähteet, pilvipalvelut, sähköposti, sovellukset, verkkoinfrastruktuuri ja muut tärkeät ohjauspisteet.
Leveydellä on väliä, mutta osuvuudella on enemmän merkitystä. Tavoitteena ei ole käyttää kaikkea umpimähkäisesti – se on varmistaa, että alusta pystyy käsittelemään tietoturvatiimisi todellisuudessa tarvitsemat lähteet havaitsemiseen ja tutkimiseen.
Voiko se normalisoida ja korreloida tehokkaasti?
Keskitetty keräys ei yksinään riitä. SIEM on tehtävä tiedoista riittävän johdonmukaisia, jotta se voi etsiä, vertailla ja korreloida eri työkaluja ja tekniikoita.
Tässä jotkin alustat näyttävät vahvoilta demonstraatioissa, mutta osoittautuvat vaikeammiksi käyttää käytännössä. Jos normalisointi on heikkoa, kenttäkartoitukset epäjohdonmukaisia tai useiden lähteiden välistä logiikkaa on vaikea ylläpitää, SIEM voi muodostua suuri tallennuskerros, jonka analyyttinen arvo on rajallinen.
Tukeeko se todellisia tutkimuksia?
Vahvan yrityksen SIEM pitäisi auttaa analyytikoita suorittamaan tutkimuksia tehokkaasti, ei vain näyttämään hälytyksiä kojelaudassa.
Tämä tarkoittaa, että ryhmien tulee pystyä hakemaan historiallista ja nykyistä tietoa, liikkumaan käyttäjien ja järjestelmien välillä, seuraamaan aikajanoja, tarkastelemaan liittyviä tapahtumia ja ymmärtämään tapahtuman laajuutta ilman manuaalisia kiertotapoja.
Voiko tiimisi rakentaa ja virittää havaintoja sen pohjalta?
Enterprise SIEM -arvo riippuu suuresti sen sisällä suoritettavien havaintojen laadusta. Hyödyllisen alustan tulisi tukea mielekästä sääntökehitystä, joustavaa korrelaatiologiikkaa ja jatkuvaa viritystä organisaation riskiprofiilin ja todellisten hyökkäysmallien perusteella.
Valmis sisältö voi auttaa tiimejä pääsemään alkuun, mutta harvoin se riittää yksinään. Parempi testi on, auttaako alusta tiimiäsi mukauttamaan havaintoja omaan ympäristöösi ja ylläpitämään niitä ajan mittaan.
Mitä ajaminen maksaa?
SIEM :n todelliset kustannukset ylittävät lisensoinnin. Se sisältää käsittelyn, tallennuksen, säilyttämisen, sisällön ylläpidon, jäsentimen ylläpidon, suorituskyvyn virityksen ja sen hallintaan tarvittavat ihmiset.
Siksi kustannuksia tulee arvioida toimintamallikysymyksenä, ei vain hankintakysymyksenä. Alusta voi näyttää houkuttelevalta ostovaiheessa ja silti osoittautua kalliiksi, jos se vaatii liikaa asiantuntijatyötä tai skaalautuu huonosti datan kasvun myötä.
Kuinka hyvin se sopii sekalaiseen ympäristöön?
Useimmat yritykset eivät toimi yhden toimittajan ekosysteemissä. Heillä on perittyjä työkaluja, pilvipalveluita, alueellisia muunnelmia, vanhoja järjestelmiä ja päällekkäisiä hallintalaitteita. SIEM on toimittava tässä todellisuudessa.
Yhteentoimivuudella on väliä. Alustan pitäisi pystyä yhdistämään tietoja eri lähteistä ja auttamaan tiimiä suorittamaan tutkimusta heterogeenisessä ympäristössä, ei vain kapeassa joukossa alkuperäisiä integraatioita.
Mitä listalla pitäisi olla?
Vahvan suosikkilistan pitäisi yleensä vastata selkeästi seuraaviin kysymyksiin:
- Pystyykö alusta hyödyntämään ympäristöllemme tärkeimpiä lähteitä?
- Voiko se normalisoida ja korreloida tietoja riittävän hyvin tukeakseen todellisia tutkimuksia?
- Voiko tiimimme rakentaa, virittää ja ylläpitää hyödyllisiä havaintoja ajan mittaan?
- Voiko se tukea SOC jo käyttämiä työnkulkuja tai joita se haluaa parantaa?
- Onko meillä varaa toimintamalliin, ei vain alkuhankintaan?
- Toimiiko se kaikilla olemassa olevilla työkaluilla ja ympäristöillä?
Nämä kysymykset ovat hyödyllisempiä kuin ominaisuuksien vertailut, koska ne yhdistävät tuotearvioinnin todellisiin toimintatuloksiin.
Missä organisaatiot ymmärtävät tämän väärin?
Kolme virhettä tulee toistuvasti:
- Ostaminen kojelaudoille, vaatimuksille tai ominaisuuksien tarkistuslistoille mieluummin kuin tutkimuksia ja työnkulkua varten
- Telemetrian, virityksen ja haun suorituskyvyn hallintaan vaadittavan toiminnan aliarvioiminen
- Pitkän aikavälin kestävyyden huomiotta jättäminen ja alustan valitseminen tiimi ei voi realistisesti toimia hyvin.
Key takeaway
Valitse yritys- SIEM toiminnan sopivuuden perusteella. Paras vaihtoehto on se, joka pystyy käsittelemään oikeat tiedot, normalisoi sen hyvin, tukee todellisia tutkimuksia, mahdollistaa merkitykselliset havainnot ja pysyy kestävänä, jotta tiimisi voi toimia pitkällä aikavälillä.
Oletko valmis arvioimaan SIEM yrityksesi SOC tarpeita vasten?
Katso, miten Kasperskyn SIEM ratkaisu voi auttaa tiimiäsi keskittämään tietoturvatiedot, vertailemaan toimintaa eri ympäristöissä ja tutkimaan uhkia tehokkaammin.
Tukilähteet ja lisätietoa:
