SIEM

Как работает SIEM-система

Сбор и анализ всех событий информационной безопасности SIEM-система осуществляет централизованно. Её работу можно разделить на несколько этапов:

1. Получение данных из логов других средств защиты.
2. Упорядочивание полученных сведений, то есть распределение по типам и категориям.
3. Поиск корреляций — соотнесение записей из разных систем и выявление связей между ними. Выявление закономерностей и прогнозирование рисков.
4. Уведомление администраторов о найденных угрозах.

Компоненты SIEM

За каждый этап работы системы управления информацией и событиями безопасности отвечает отдельный компонент:

1. Компонент сбора событий подключается к конкретному ПО по выбранному протоколу, например, RPC или SMB, и получает записи событий. В протоколах Syslog и SNMP при наступлении события программа сама отправляет его в SIEM. Компонент нормализует событие, то есть приводит запись к общему стандарту.
2. Компонент корреляции событий работает по готовым правилам SIEM. Однако можно добавлять и свои с помощью встроенных инструментов.
3. Компонент управления представлен в виде веб-интерфейса, где администратор может просматривать статистику, уведомления о найденных угрозах и т.п. Если SIEM включает опцию автоматического реагирования, его правила настраиваются здесь.

Основные функции и преимущества SIEM

• Централизованный сбор и хранение логов. Хакеру сложнее «замести следы», изменив локальные записи.
• Обнаружение угроз через корреляцию событий. Система оперирует всем массивом данных для максимально точного анализа.
• Оперативное оповещение об инцидентах. SIEM использует различные каналы и может адаптировать отправляемый набор данных по заданным правилам для каждого подразделения компании.
• Автоматизация реагирования (в некоторых решениях). Сокращает время между обнаружением проблемы и принятием неотложных мер почти до нуля.
• Автоматизированная подготовка отчётов. Обеспечивает соблюдение нормативных требований.

Когда нужна SIEM

• Компания использует для защиты несколько ИБ-решений и не соотносит их данные друг с другом.
• Простой из-за серьёзного киберинцидента обойдётся слишком дорого. Важно снизить риски.
• Текущий анализ ИБ-событий недостаточно глубокий. Нужно вывести аналитику на новый уровень.
• Требование её наличия в организации по действующим нормативными актами. Важно выбирать решение из Реестра отечественного ПО, например, Solar SIEM.

Как внедрить SIEM — пошаговый план

1. Определить цель, сформулировать требования по бюджету, масштабируемости и другим критериям.
2. Найти по ним одно или несколько решений и проверить совместимость с используемыми в компании ИБ-сервисами.
3. Оценить ресурсы, необходимые для внедрения и обслуживания SIEM.
4. Провести пилотное тестирование выбранного сервиса.
5. Определить ответственных за каждый этап внедрения и распределить задачи
6. Выделить необходимые мощности, интегрировать системы и подключить источники событий.
7. Стандартизировать сбор данных и задать правила их обработки.
8. Настроить автоматизированные действия в SIEM.
9. Регламентировать процесс работы с системой и обучить сотрудников.
10. Протестировать работу системы целиком и каждого её компонента. Регулярно повторять проверки и устранять недостатки.