Waarom gebruiken organisaties SIEM?
Beveiligingsgegevens van ondernemingen zijn afkomstig van vele plaatsen tegelijk: eindpunten, servers, identiteitssystemen, cloudplatforms, programma's, e-mailsystemen en netwerkapparaten. Elke bron biedt een gedeeltelijk overzicht. SIEM bestaat om die verspreide records om te zetten in een coherenter beeld dat analisten kunnen doorzoeken, vergelijken en gebruiken.
De meeste ondernemingen hebben geen gebrek aan beveiligingsgegevens – ze missen duidelijkheid. Het ene hulpprogramma markeert mogelijk een verdachte inlogpoging, een ander programma registreert mogelijk een wijziging van bevoegdheden en een derde programma toont mogelijk ongewoon uitgaand verkeer. Als ze afzonderlijk worden bekeken, zien deze signalen er misschien niet urgent uit. Als ze samen worden onderzocht, kunnen ze wijzen op een echte inbraak.
Dat is de belangrijkste reden waarom SIEM er nog steeds toe doet. Het biedt beveiligingsteams een centrale plek voor het verzamelen, organiseren en analyseren van voor de beveiliging relevante activiteit op het landgoed. Het helpt het SOC over te stappen van geïsoleerde waarschuwingen naar een breder begrip van wat er is gebeurd, waar het is gebeurd en wat er daarna toe kan doen.
Hoe werkt SIEM?
Praktisch gezien werkt SIEM in vier grote fasen:
- Verzamelt gegevens uit meerdere systemen
Een SIEM neemt telemetrie op van eindpunttools, besturingssystemen, directory's, cloudservices, firewalls, DNS-logboeken, e-mailgateways en zakelijke programma's. De waarde ervan hangt sterk af van de kwaliteit en relevantie van de gegevens die het kan zien. - Normaliseert die gegevens
Verschillende technologieën produceren verschillende veldnamen, gebeurtenisstructuren, ernstgraden en tijdstempels. Een SIEM converteert deze naar een consistentere indeling zodat gebeurtenissen op verschillende systemen kunnen worden doorzocht en vergeleken. - Correleert gerelateerde activiteit
Dit is een van de belangrijkste functies. Een SIEM kan gebeurtenissen in de tijd, gebruikers, hosts en systemen met elkaar verbinden om patronen te markeren die afzonderlijk gemakkelijk over het hoofd zouden worden gezien. In plaats van elke waarschuwing als een afzonderlijk probleem te behandelen, helpt het analisten te zien of meerdere signalen deel uitmaken van hetzelfde incident. - Ondersteunt detectie en onderzoek
Analisten kunnen waarschuwingen bekijken, historische gegevens doorzoeken, tijdlijnen onderzoeken, gerelateerde activa of gebruikers schakelen en beoordelen hoe ver verdachte activiteit zich mogelijk heeft verspreid. In veel organisaties speelt SIEM ook een rol bij de rapportage, het opsporen van dreigingen en de analyse na incidenten.
Wat maakt SIEM waardevol in bedrijfsomgevingen?
SIEM wordt vooral nuttig op ondernemingsniveau, waar beveiligingsteams te maken hebben met een mix van lokale systemen, cloudservices, externe gebruikers, tools van derden en regionale complexiteit.
In die omgevingen blijven aanvallers zelden binnen een enkele laag van de stapel. Een gehackt account kan leiden tot verdacht gedrag van eindpunten, ongebruikelijke SaaS-toegang, wijzigingen in cloudrechten en uitgaande verbindingen die alleen logisch zijn als ze samen worden gezien.
Daarom gaat SIEM vaak minder over één waarschuwing en meer over context. Het helpt analisten de relaties tussen gebeurtenissen, systemen en gebruikers te begrijpen. Het ondersteunt ook historisch onderzoek, dat van belang is wanneer een organisatie moet traceren hoe lang een inbraak al actief is, wat er nog meer kan worden beïnvloed, of dat soortgelijk gedrag zich elders in het landgoed voordeed.
Wat is SIEM niet ?
SIEM is niet alleen een logboekarchief, hoewel het afhankelijk is van een sterke verzameling en bewaring van logboeken. Het is ook niet hetzelfde als een automatisch antwoord. Sommige platforms bevatten automatiseringsfuncties of integreren met responstools, maar het belangrijkste doel van SIEM is zichtbaarheid, analyse en onderzoek.
Dit onderscheid is van belang omdat organisaties soms verwachten dat SIEM elk SOC probleem alleen oplost. In de praktijk hangt de waarde ervan af van de kwaliteit van de gegevens, de relevantie van de detectie en de manier waarop het beveiligingsteam ze daadwerkelijk gebruikt.
Welke uitdagingen zijn er bij SIEM?
De grootste uitdaging is meestal niet het verzamelen van gegevens, maar het nuttig maken van die gegevens. Als telemetrie onvolledig, inconsistent of slecht genormaliseerd is, zal de SIEM moeite hebben om betrouwbare detecties of nuttig onderzoek te produceren. Als de use-cases zwak zijn, kan het platform grote hoeveelheden waarschuwingen genereren zonder de duidelijkheid te verbeteren.
Er is ook een operationele uitdaging. SIEM is geen eenmalige implementatie. Het vereist afstemming, parseronderhoud, zoekoptimalisatie, ontwikkeling van inhoud en regelmatige beoordeling van welke gegevens het echt waard zijn om te verwerken. Met andere woorden, de aanschaf van een SIEM is nog maar het begin. De waarde hangt af van hoe goed het wordt uitgevoerd.
Waarom is SIEM nog steeds belangrijk?
De meeste cyberaanvallen op ondernemingen vinden niet op één plek plaats. Ze verplaatsen zich over identiteiten, eindpunten, cloudservices, netwerkcontroles en programma's. Verdedigers hebben daarom een manier nodig om bewijs uit meerdere bronnen samen te brengen en gebeurtenissen in hun context te onderzoeken.
Zelfs nu EDR, XDR, automatisering en beheerde services zich verder ontwikkelen, speelt SIEM nog steeds een belangrijke rol bij de gecentraliseerde zichtbaarheid, de diepgang van het onderzoek en de doorzoekbaarheid op de lange termijn in complexe omgevingen.
Belangrijke informatie
SIEM is de analytische ruggengraat van beveiligingsoperaties. Het helpt teams de juiste gegevens te verzamelen, deze bruikbaar te maken, gerelateerde activiteiten te verbinden en incidenten effectiever te onderzoeken.
SIEM is het meest effectief wanneer het beveiligingsteams de duidelijkheid en context biedt om dreigingen snel in complexe omgevingen te onderzoeken.
Ontdek hoe de SIEM oplossing van Kaspersky uw team kan helpen bij het centraliseren van beveiligingsgegevens, het detecteren van verdachte activiteit en het versnellen van onderzoek in uw hele onderneming.
Ondersteunende bronnen en meer informatie:
