Miksi organisaatiot käyttävät SIEM?
Yritysten tietoturvatiedot tulevat useista paikoista yhtä aikaa: päätepisteistä, palvelimista, identiteettijärjestelmistä, pilviympäristöistä, sovelluksista, sähköpostijärjestelmistä ja verkkolaitteista. Jokainen lähde tarjoaa osittaisen näkymän. SIEM on suunniteltu muuttamaan hajallaan olevat tietueet yhtenäisemmäksi kuvaksi, jota analyytikot voivat etsiä, vertailla ja käyttää.
Useimmilta yrityksiltä puuttuu tietoturvatietoja – niiltä puuttuu selkeys. Yksi työkalu voi ilmoittaa epäilyttävän kirjautumisen, toinen saattaa tallentaa käyttöoikeuksien muutoksen ja kolmas saattaa näyttää epätavallista lähtevää liikennettä. Erikseen tarkasteltuna signaalit eivät välttämättä näytä kiireellisiltä. Yhdessä tarkasteltuna ne voivat viitata todelliseen tunkeutumiseen.
Tämä on perussyy, miksi SIEM on edelleen tärkeä. Se tarjoaa tietoturvatiimille keskeisen paikan kerätä, organisoida ja analysoida tietoturvaan liittyvää toimintaa kiinteistön eri puolilla. Se auttaa SOC siirtymään yksittäisistä hälytyksistä laajempaan ymmärrykseen siitä, mitä tapahtui, missä se tapahtui ja millä voi olla merkitystä seuraavaksi.
Miten SIEM toimii?
Käytännön tasolla SIEM toimii neljässä laajassa vaiheessa:
- Kerää tietoa useista järjestelmistä
SIEM kerää telemetriaa päätepistetyökaluista, käyttöjärjestelmistä, hakemistoista, pilvipalveluista, palomuureista, DNS-lokeista, sähköpostiyhdyskäytävistä ja yrityssovelluksista. Sen arvo riippuu suuresti sen näkemien tietojen laadusta ja merkityksestä. - Normalisoi tiedot
Eri teknologiat tuottavat erilaisia kenttien nimiä, tapahtumarakenteita, vakavuusasteita ja aikaleimoja. SIEM muuntaa ne yhtenäisempään muotoon, jotta tapahtumia voidaan etsiä ja verrata eri järjestelmissä. - Korreloi liittyvää toimintaa
Tämä on yksi sen tärkeimmistä tehtävistä. SIEM voi yhdistää tapahtumia eri aikojen, käyttäjien, isäntien ja järjestelmien välillä korostaakseen kuvioita, jotka olisi helppo unohtaa erikseen. Sen sijaan, että jokaista hälytystä käsiteltäisiin erillisenä ongelmana, se auttaa analyytikoita näkemään, liittyykö samaan tapahtumaan useita signaaleja. - Tukee havaitsemista ja tutkintaa
Analyytikot voivat tarkastella hälytyksiä, hakea historiallisia tietoja, tutkia aikajanat, kääntyä toisiinsa liittyvien resurssien tai käyttäjien välillä ja arvioida, kuinka pitkälle epäilyttävä toiminta on voinut levitä. Monissa organisaatioissa SIEM osallistuu myös raportointiin, uhkien etsintään ja tapahtumien jälkianalyysiin.
Mikä tekee SIEM arvokkaan yritysympäristöissä?
SIEM tulee erityisen hyödyllinen yritystasolla, jossa tietoturvatiimit käsittelevät yhdistelmää paikan päällä olevia järjestelmiä, pilvipalveluja, etäkäyttäjiä, kolmansien osapuolten työkaluja ja alueellista monimutkaisuutta.
Näissä ympäristöissä hyökkääjät pysyvät harvoin yhdessä pinon kerroksessa. Vaarantunut tili voi johtaa päätelaitteiden epäilyttävään toimintaan, epätavalliseen SaaS-käyttöön, muutoksiin pilvikäyttöoikeuksissa ja lähteviin yhteyksiin, jotka ovat järkeviä vain yhdessä tarkasteltuna.
Tästä syystä SIEM ei useinkaan ole niinkään yhtä varoitusta, vaan enemmän kontekstia. Se auttaa analyytikoita ymmärtämään tapahtumien, järjestelmien ja käyttäjien välisiä suhteita. Se tukee myös historiantutkimusta, jolla on merkitystä, kun organisaation täytyy jäljittää, kuinka kauan tunkeutuminen on ollut aktiivista, mihin muuhun se voi vaikuttaa tai onko vastaavaa käyttäytymistä esiintynyt muualla kuolinpesässä.
Mikä SIEM ei ole?
SIEM ei ole pelkkä loki-arkisto, vaikka se riippuu vahvasta lokien keräämisestä ja säilyttämisestä. Se ei myöskään ole sama asia kuin automaattinen vastaus. Jotkin alustat sisältävät automaatioominaisuuksia tai integroituvat vastaustyökaluihin, mutta SIEM :n ydintarkoitus on näkyvyys, analysointi ja tutkimus.
Tällä erolla on merkitystä, koska organisaatiot odottavat toisinaan SIEM ratkaisevan jokaisen SOC ongelman yksinään. Käytännössä sen arvo riippuu tiedon laadusta, havaitsemisen relevanssista ja siitä, miten tietoturvatiimi käyttää sitä.
Mitä haasteita SIEM tuo mukanaan?
Suurin haaste ei yleensä ole tiedon kerääminen, vaan tiedon tekeminen hyödylliseksi. Jos telemetria on epätäydellinen, epäjohdonmukainen tai huonosti normalisoitu, SIEM yrittää tuottaa luotettavia havaintoja tai hyödyllisiä tutkimuksia. Jos käyttötapaukset ovat heikkoja, alusta voi tuottaa suuria määriä hälytyksiä ilman, että selkeys paranee.
Siinä on myös toiminnallinen haaste. SIEM ei ole kertakäyttöinen käyttöönotto. Se vaatii viritystä, jäsentimen ylläpitoa, haun optimointia, sisällön kehitystä ja säännöllistä tarkistusta siitä, mitä tietoja todella kannattaa käyttää. Toisin sanoen SIEM ostaminen on vasta alkua. Arvo syntyy siitä, kuinka hyvin se ajetaan.
Miksi SIEM: llä on edelleen väliä?
Useimmat yrityksiin kohdistuvat kyberhyökkäykset eivät avaudu yhdestä paikasta. Ne liikkuvat identiteettien, päätepisteiden, pilvipalvelujen, verkon hallintalaitteiden ja sovellusten välillä. Puolustajat tarvitsevat siksi tavan koota todisteita useista lähteistä ja tutkia tapahtumia asiayhteydessä.
Vaikka EDR, XDR, automaatio ja hallitut palvelut kehittyvät, SIEM on edelleen tärkeä rooli keskitetyn näkyvyyden, tutkinnan syvyyden ja pitkän aikavälin haettavuuden kannalta monimutkaisissa ympäristöissä.
Key takeaway
SIEM on tietoturvatoimintojen analyyttinen selkäranka. Se auttaa tiimejä keräämään oikeaa dataa, tekemään siitä käyttökelpoista, yhdistämään asiaan liittyvät toimet ja tutkimaan tapauksia tehokkaammin.
SIEM on tehokkain, kun se antaa tietoturvatiimille selkeyden ja kontekstin tutkia uhkia nopeasti monimutkaisissa ympäristöissä.
Katso, miten Kasperskyn SIEM ratkaisu voi auttaa tiimiäsi keskittämään tietoturvatiedot, havaitsemaan epäilyttävän toiminnan ja nopeuttamaan tutkintaa koko yrityksessäsi.
Tukilähteet ja lisätietoa:
