Welk probleem probeer je op te lossen?
Verschillende SIEM projecten starten om verschillende redenen. De ene organisatie heeft mogelijk gecentraliseerde zichtbaarheid nodig; een ander heeft mogelijk een sterker onderzoek nodig. Mogelijk probeert u de detectiedekking in een gefragmenteerde omgeving te verbeteren; een ander kan worden gedreven door rapportage-, bewaar- of auditvereisten.
Als het uitgangspunt vaag is, zal de evaluatie meestal ook vaag zijn. Een SIEM moet worden gekozen op basis van een duidelijk gedefinieerde operationele behoefte, niet op basis van een algemeen idee van hoe een SOC tool eruit zou moeten zien.
Kan het de juiste gegevens opnemen?
Een SIEM is slechts zo nuttig als de telemetrie die het kan verzamelen en bruikbaar maken. Dit betekent dat u moet kijken naar de systemen die het belangrijkst zijn voor uw omgeving: eindpunten, identiteitsbronnen, cloudservices, e-mail, programma's, netwerkinfrastructuur en andere kritieke controlepunten.
De breedte is belangrijk, maar relevantie is belangrijker. Het doel is niet om alles willekeurig op te nemen - het is om ervoor te zorgen dat het platform de bronnen aankan die uw beveiligingsteam echt nodig heeft voor detectie en onderzoek.
Kan het normaliseren en effectief correleren?
Een gecentraliseerde verzameling alleen is niet voldoende. De SIEM moet gegevens consistent genoeg maken om verschillende tools en technologieën te zoeken, te vergelijken en te correleren.
Dit is waar sommige platforms er goed uitzien in demonstraties, maar in de praktijk moeilijker blijken te zijn. Als de normalisatie zwak is, de veldtoewijzingen inconsistent zijn of de logica van verschillende bronnen moeilijk te onderhouden is, kan de SIEM een grote opslaglaag worden met een beperkte analytische waarde.
Ondersteunt het echte onderzoeken?
Een sterke SIEM voor ondernemingen moet analisten helpen om efficiënt onderzoek te doen en niet alleen waarschuwingen op een dashboard weer te geven.
Dat betekent dat teams in staat moeten zijn om historische en actuele gegevens te doorzoeken, tussen gebruikers en systemen te werken, tijdlijnen te volgen, gerelateerde gebeurtenissen te beoordelen en de omvang van een incident te begrijpen zonder te hoeven vertrouwen op handmatige tijdelijke oplossingen.
Kan uw team er detecties op bouwen en afstemmen?
De waarde van Enterprise SIEM hangt sterk af van de kwaliteit van de detecties die erin worden uitgevoerd. Een nuttig platform moet zinvolle ontwikkeling van regels, flexibele correlatielogica en voortdurende afstemming op basis van het risicoprofiel van de organisatie en echte aanvalspatronen ondersteunen.
Kant-en-klare inhoud kan teams helpen om aan de slag te gaan, maar het is zelden genoeg op zichzelf. De betere test is of het platform uw team helpt detecties aan te passen aan uw eigen omgeving en ze in de loop van de tijd te onderhouden.
Wat kost het om te draaien?
De werkelijke kosten van een SIEM gaan verder dan de licentieverlening. Het omvat opname, opslag, retentie, onderhoud van inhoud, onderhoud van de parser, afstemming van de prestaties en de mensen die nodig zijn om het te beheren.
Dit is de reden waarom de kosten moeten worden beoordeeld als een vraag over een operationeel model en niet alleen als een kwestie van aanschaf. Een platform kan er aantrekkelijk uitzien in de aankoopfase en toch duur zijn als het te veel specialistische inspanning vereist of slecht schaalt met de groei van gegevens.
Hoe goed past het in een gemengde omgeving?
De meeste ondernemingen werken niet in een ecosysteem van één leverancier. Ze hebben tools, cloudservices, regionale varianten, verouderde systemen en overlappende besturingselementen overgenomen. Een SIEM moet in deze realiteit werken.
Interoperabiliteit is belangrijk. Het platform moet in staat zijn om gegevens uit verschillende bronnen samen te brengen en het team te helpen bij het onderzoek in een heterogene omgeving, niet alleen in een beperkt aantal native integraties.
Wat moet er op de shortlist?
Een sterke shortlist zou deze vragen doorgaans duidelijk moeten beantwoorden:
- Kan het platform de bronnen opnemen die het belangrijkst zijn voor onze omgeving?
- Kan het gegevens goed genoeg normaliseren en correleren om echte onderzoeken te ondersteunen?
- Kan ons team nuttige detecties bouwen, afstemmen en onderhouden?
- Ondersteunt het de workflows die ons SOC al gebruikt of wil het de workflows verbeteren?
- Kunnen we ons het operationele model veroorloven, niet alleen de eerste aankoop?
- Zal het werken in de mix van tools en omgevingen die we al hebben?
Deze vragen zijn nuttiger dan vergelijkingen van het aantal functies, omdat ze productevaluatie verbinden met echte operationele resultaten.
Waar pakken organisaties dit verkeerd aan?
Drie fouten komen herhaaldelijk voor:
- Kopen voor dashboards, claims of checklists voor functies in plaats van voor onderzoeken en de workflow
- Onderschatten van de operationele inspanning die vereist is voor het beheer van telemetrie, afstemming en zoekprestaties
- Door de duurzaamheid op de lange termijn te negeren en een platform te kiezen dat het team realistisch gezien niet goed kan draaien.
Belangrijke informatie
Kies een enterprise SIEM op basis van operationele fit. De beste optie is degene die de juiste gegevens kan opnemen, deze goed kan normaliseren, echte onderzoeken kan ondersteunen, zinvolle detecties mogelijk maakt en duurzaam blijft voor uw team om in de loop van de tijd te werken.
Klaar om SIEM te evalueren aan de hand van de behoeften van het SOC van uw onderneming?
Ontdek hoe de SIEM oplossing van Kaspersky uw team kan helpen bij het centraliseren van beveiligingsgegevens, het correleren van activiteit in verschillende omgevingen en het effectiever onderzoeken van dreigingen.
Ondersteunende bronnen en verder lezen:
