Що таке SIEM? Інформація про безпеку та управління подіями.

Інформація про безпеку та керування подіями (Security Information and Event Management, скорочено SIEM) — це набір інструментів і методів для дослідження подій, важливих для кібербезпеки, у середовищі, де застосовується ця система. SIEM складається з двох технологій, які розвивалися окремо одна від одної – Керування подіями безпеки (Security Event Management, SEM) і Керування інформацією про безпеку (Security Information Management, SIM). Перший відповідає за моніторинг та сповіщення про вхідні події в мережі (нові підключення, можливі проблеми та сумнівна поведінка). З іншого боку, SIM займається аналізом журналів подій і наданням відповідних висновків команді аналітиків.

SIEM поєднує обидва ці підходи, пропонуючи одночасну реєстрацію всіх подій у системі та їх аналіз. Ця техніка дозволяє командам кібербезпеки стежити за подіями, виявляти загрозливі елементи та реагувати на них. Насправді реакція зазвичай вимагає як навичок, так і програмного забезпечення, яке дає змогу захистити певні ділянки мережі. Для більш ефективного та зручного реагування компанії обирають рішення EDR/XDR, які дозволяють їм автоматично застосовувати необхідні дії для всіх пристроїв.

Що таке компоненти SIEM?

Процес SIEM складається з 4 логічних кроків. Насправді програмне забезпечення, яке їх забезпечує, є неподільним, але ці процедури легко відокремити одна від одної. Це збір даних, консолідація даних, сповіщення про події та політика подальших дій. Усі вони працюють на повторній та постійній основі. Давайте перевіримо кожен із них зверху вниз.

• Збір даних – це частина, де система збирає всю можливу інформацію про події в мережі. Джерелами цієї інформації є комп'ютери в мережі, сервери та мережеві засоби (наприклад, брандмауери, мережеві комутатори тощо). Крім того, SIEM може збирати інформацію з програмного забезпечення кібербезпеки, якщо воно наявне та налаштоване для обміну даними з інформацією про безпеку та системами керування подіями. На цьому етапі формується набір даних, необхідний для подальшого аналізу.
• Консолідація даних – це етап аналізу зібраної інформації. Щоб було зручніше як для системи, так і для спеціалістів, SIEM автоматично сортує вхідну інформацію. Потім дані групуються за категоріями та визначається кореляція подій. Цієї інформації вже достатньо, щоб зробити висновки та простежити причинно-наслідкові зв'язки. Останнє надзвичайно важливо, коли йдеться про розслідування інциденту кібербезпеки.
• Сповіщення про події є найменш складною процедурою, оскільки вона просто передбачає певний спосіб сповіщень про заздалегідь визначені події. Спосіб і випадки надсилання цих сповіщень встановлюються під час розгортання SIEM у захищеній мережі. Ці сповіщення служать маркерами для команди з кібербезпеки про на що їм слід звернути увагу.
• Політика дій – це список попередньо визначених станів контрольованої території за певних обставин, а також тривоги та сповіщення, які їм відповідають. Аналітики створюють так звані «профілі», які встановлюють, як виглядає та діє середовище в нормальній ситуації, а також під час звичайних інцидентів кібербезпеки. Політики потрібні, щоб SIEM міг визначати, чи система функціонує нормально чи піддається небезпеці.

Як працює SIEM?

Як ви бачите з абзаців вище, ключовою функцією SIEM є збір і групування інформації про події, які відбуваються в навколишньому середовищі. Він також може надати поради щодо того, як поводитися з потенційно небезпечними подіями, але ці поради більше схожі на припущення, ніж на рекомендацію. Рішення має приймати команда з кібербезпеки, а сама SIEM може вносити лише незначні коригування.

Звичайний алгоритм роботи SIEM складається з вищезгаданих 4 кроків, але з відхиленнями відповідно до поточної ситуації. Коли нічого не відбувається, система простоює і пасивно стежить за подіями. Однак, коли трапляється щось незвичайне - наприклад, новий користувач підключається до мережі або робоча станція перезавантажується в незвичайний момент часу - SIEM починає працювати. Він звертає увагу на підозрюваних, аналізує інформацію та, якщо помічає щось цінне, повідомляє про це команді з кібербезпеки.

Проте управління інформацією про безпеку та подіями не є автономним процесом кібербезпеки. Він не може захистити вашу мережу, коли вас немає, оскільки його основна функція полягає в журналі та обробці інформації. Найчастіше кібербезпеку в корпораціях забезпечують рішення EDR/XDR, а SIEM є додатковою системою, яка полегшує відстеження подій.

Типи SIEM

За формою впровадження SIEM можна поділити на 3 категорії - хмарні, внутрішні та керовані. Більшість інших відмінностей, які можна використовувати для класифікації, є незначними та відрізняються від одного розробника до іншого.

Хмарна SIEM, як ви можете припустити з назви, — це система керування інформацією та подіями безпеки, яка пов’язана з хмарними обчисленнями. Цей варіант став популярним після глобального поширення хмарних обчислень в корпораціях. Це забезпечує функціональність SIEM з набагато меншими затратами на розгортання. Однак він трохи менш адаптований для потреб кожної окремої корпорації. Іншою проблемою є збільшення поверхні атаки: дані, зібрані й оброблені системою SIEM, можуть просочуватися не лише від компанії-клієнта, а й від постачальника хмарних послуг, а також перехоплені на шляху до сервера. Однак гнучкість тарифів і відсутність необхідності купувати та обслуговувати обладнання робить його досить привабливим, особливо для середнього бізнесу.

Внутрішня SIEM передбачає впровадження системи на власному апаратному та програмному забезпеченні. Це забезпечує максимальну інтеграцію, оскільки зазвичай in-home модель передбачає розширену адаптацію програмного забезпечення під потреби певної компанії. Зазвичай таку інтеграцію вибирають компанії, які використовують всеохоплюючі заходи захисту, які утворюють повнорозмірний центр безпеки. Такий підхід потребує участі набагато більш кваліфікованих спеціалістів, коштує набагато більше, але буде максимально ефективним. Центр безпеки забезпечить максимальну продуктивність усіх рішень безпеки, які застосовуються в середовищі, зокрема процес керування подіями безпеки та інформацією.

Керована SIEM – це тип системи, яка може базуватися як на домашній, так і на хмарній формі, але за допомогою команди аналітиків стороннього підрядника. Постачальник технологій пропонує обчислювальну потужність і кваліфікований персонал, який прийматиме рішення постійно або на вимогу. Ця форма обслуговування приваблива для компаній, які не мають відповідного персоналу і не хочуть його наймати, а також не мають можливості для придбання та обслуговування відповідного апаратного забезпечення.

Розвиток SIEM

Дослідники кібербезпеки визначають три етапи еволюції SIEM, які відбулися в часі.

• На першому етапі, який розпочався в середині 2000-х років, рішення для керування інформацією про безпеку та подіями були лише комбінацією SIM та SEM. Через відсутність належного журналювання в більшості тогочасних програм і операційних систем, SIEM першого покоління були досить обмежені в їхній контрольній зоні.
• Друге покоління програмного забезпечення SIEM мало деякі вдосконалені механізми роботи з великими масивами даних. Збільшення кількості додатків і елементів середовища, охоплених рішенням, експоненціально збільшило потік даних. Крім того, SIEM другого покоління приділяли більше уваги історичним даним – вони отримали можливість порівнювати поточні події з минулими журналами.
• Останнє, третє покоління, яке з’явилося як концепт у 2017 році, включало функції UBA/UEBA та SOAR на додаток до класичних функцій SIEM. Системи аналізу поведінки користувачів та інформації про безпеку та управління подіями схожі за своїм призначенням, але були спрямовані на відстеження різних сфер внутрішньої діяльності. Така спільна дія однозначно підвищує ефективність розчину та покращує покриття. Рішення для оркестровки безпеки та реагування, з іншого боку, є програмним забезпеченням, яке робить відповідь на будь-які загрози більш зручною та швидкою. У поєднанні зі сповіщеннями SIEM/UBA SOAR дає змогу впоратися із загрозами за жалюгідний період часу.

Чи потрібен нам інструмент SIEM?

SIEM є чудовим доповненням до захисту від шкідливих програм, який уже є в корпоративній мережі. Хоча він здатний представити весь пакет інформації, необхідної для моніторингу мережі та розуміння загроз, він не надає жодних можливостей для автоматичного виявлення та видалення шкідливих програм. Крім того, без XDR, SOAR і UEBA досить важко взагалі створити будь-яку відповідь - ручне керування параметрами безпеки всієї мережі дуже складне навіть для професіонала .

Використання SIEM у співпраці з іншими механізмами безпеки значно підвищить загальний захист, оскільки це підвищує обізнаність серед персоналу з кібербезпеки. На відміну від UBA, він буде ефективним навіть у невеликих компаніях, оскільки не зосереджується лише на поведінці користувачів. Якщо ви хочете, щоб ваша команда з кібербезпеки була в курсі будь-яких дрібниць, що виходять за рамки рутинних подій, SIEM – це те, що вам потрібно.