SIEM - управление информацией и событиями в системе безопасности
SIEM (Security information and event management) — объединение двух терминов, обозначающих область применения ПО: SIM (Security information management) — управление информацией о безопасности, и SEM (Security event management) — управление событиями безопасности.
Технология SIEM обеспечивает анализ в реальном времени событий (тревог) безопасности, исходящих от сетевых устройств и приложений, и позволяет реагировать на них до наступления существенного ущерба.
С растущим объемом информации, которая обрабатывается и передается между различными информационными системами (ИС), организации и отдельные пользователи все больше зависят от непрерывности и корректности выполнения данных процессов. Для реагирования на угрозы безопасности в ИС необходимо иметь инструменты, позволяющие анализировать в реальном времени происходящие события, число которых только растет. Одним из решений данной проблемы является использование SIEM-систем. Основополагающий принцип системы SIEM заключается в том, что данные о безопасности информационной системы собираются из разных источников, и результат их обработки предоставляется в едином интерфейсе, доступном для аналитиков безопасности, что облегчает изучение характерных особенностей, соответствующих инцидентам безопасности. SIEM представляет собой объединение систем управления информационной безопасностью (SIM) и управления событиями безопасности (SEM) в единую систему управления безопасностью. Сегмент SIM, в основном, отвечает за анализ исторических данных, стараясь улучшить долгосрочную эффективность системы и оптимизировать хранение исторических данных. Сегмент SEM, напротив, делает акцент на выгрузке из имеющихся данных определенного объема информации, с помощью которого могут быть немедленно выявлены инциденты безопасности. По мере роста потребностей в дополнительных возможностях непрерывно расширяется и дополняется функциональность данной категории продуктов.
Одной из главных целей использования SIEM-систем является повышение уровня информационной безопасности в имеющейся архитектуре за счет обеспечения возможности манипулировать информацией о безопасности и осуществлять упреждающее управление инцидентами и событиями безопасности в близком к реальному времени режиме.
Упреждающее управление инцидентами и событиями безопасности заключается в принятии решений еще до того, как ситуация станет критической. Такое управление может осуществляться с использованием автоматических механизмов, которые прогнозируют будущие события на основе исторических данных, а также автоматической подстройки параметров мониторинга событий к конкретному состоянию системы.
SIEM представлено приложениями, приборами или услугами, и используется также для журналирования данных и генерации отчетов в целях совместимости с прочими бизнес-данными.
Понятие управление событиями информационной безопасности (SIEM), введенное Марком Николеттом и Амритом Вильямсом из компании Gartner в 2005 г., описывает функциональность сбора, анализа и представления информации от сетевых устройств и устройств безопасности, приложений идентификации (управления учетными данными) и управления доступом, инструментов поддержания политики безопасности и отслеживания уязвимостей, операционных систем, баз данных и журналов приложений, а также сведений о внешних угрозах. Основное внимание уделяется управлению привилегиями пользователей и служб, службами каталогов и другим изменениям конфигурации, а также обеспечению аудита и обзора журналов, реакциям на инциденты
Наиболее популярные продукты категории SIEM - управление информацией и событиями в системе безопасности Все продукты категории
Сравнение продуктов в категории SIEM - управление информацией и событиями в системе безопасности
Настраеваемые отчеты |
Управление логами |
Правила корреляции |
Применение правил корреляции в реальном времени |
Резервирование конфигурации системы |
Агрегация событий по типу |
Использование алгоритмов машинного обучения |
Проведение расследований |
Управление инцидентами и их устранение |
Поддержка облачных сервисов |
Обнаружение аномалий на основе поведения |
Автоматизированные рабочие процессы |
Уведомления и преджупреждения в реальном времени |
Расширенное обнаружение угроз |
Обнаружение инсайдерских угроз |
Пробный период |
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|||||||
|
да, 14 дней
|
N/A
|
да
|
да, 60 дней
|
да
|
да
|
да
|
да
|
да
|
Поставщики SIEM - управление информацией и событиями в системе безопасности
- ARE
- AUS
- BRA
- CAN
- CHE
- CHL
- CHN
- CRI
- DEU
- FRA
- GBR
- HUN
- IDN
- IRL
- IND
- JPN
- KOR
- NLD
- SGP
- USA
Производители SIEM - управление информацией и событиями в системе безопасности
- AUT
- AUS
- BEL
- CAN
- CHE
- CHN
- DEU
- FRA
- GBR
- IRL
- ISR
- IND
- ITA
- JPN
- LIE
- LKA
- LUX
- MYS
- NPL
- NZL
- PRT
- SGP
- USA
- ARE
- AUS
- BRA
- CAN
- CHE
- CHL
- CHN
- CRI
- DEU
- FRA
- GBR
- HUN
- IDN
- IRL
- IND
- JPN
- KOR
- NLD
- SGP
- USA
F.A.Q. SIEM - управление информацией и событиями в системе безопасности
Что такое SIEM?
SIEM начинался как объединение двух разных решений кибербезопасности: Управление событиями безопасности (SEM) и Управление информацией о безопасности (SIM).
SEM служил инструментом управления угрозами, предназначенным главным образом для борьбы с угрозами в более ранних сетевых средах и поддержки реагирования на инциденты. Между тем, SIM предлагает управление журналами, исторический анализ и криминалистические возможности.
Другими словами, SIEM объединяет возможности SEM и SIM в одно решение для предприятий.
Отличается ли SIEM от управления журналами?
Решения по управлению журналами (LEM) позволяют предприятиям отслеживать действия пользователей и обрабатывать огромные объемы данных. Большинство решений SIEM предлагают управление журналами в качестве одной из своих ключевых возможностей, хотя SIEM также предлагает предупреждения безопасности, обнаружение угроз, устранение угроз и корреляцию событий безопасности, необходимых для кибербезопасности.
Управление журналом само по себе недостаточно для обеспечения вашей максимальной защиты от кибербезопасности, хотя это важно для обеспечения соответствия нормативным требованиям во многих случаях использования.
Какие ключевые возможности в SIEM?
Конечно, ни один список вопросов SIEM не будет полным, если не вдаваться в ключевые возможности решения. Хотя упрощение может представлять опасность для более полного понимания, мы можем разбить ключевые возможности SIEM на три категории компонентов: управление журналами, обнаружение угроз и соответствие требованиям.
Податливость
Раннее внедрение SIEM обусловлено необходимостью соблюдения требований крупными предприятиями. Однако почти любое предприятие в любой отрасли должно соответствовать определенным нормативным требованиям, будь то государственное или промышленное; потребность в SIEM, безусловно, возросла в последние годы.
Обработка и компиляция данных SIEM позволяют легко выполнять отчеты о соответствии. Фактически, SIEM может помочь вашему предприятию в реализации таких важных инициатив, как HIPAA.
Управление журналами
Как описано выше, управление журналами предоставляет предприятиям архитектуру для обработки огромных объемов данных. Эта, казалось бы, простая задача предлагает огромные преимущества вашей ИТ-команде.
Например, ваша команда может выполнить нормализацию данных, позволяя им адекватно анализировать данные из разнородных источников по всей сети без хлопот. Кроме того, они могут сопоставлять события безопасности из этих разрозненных областей сети, что позволяет им быстро определять шаблоны, указывающие на угрозу.
Кроме того, управление журналами предоставляет функции корпоративного поиска (в идеале, с несколькими вариантами запросов, фильтрами и параметрами классификации). Он также должен учитывать функции хранения, сохранения, сжатия, шифрования и архивирования данных.
Обнаружение угрозы
Конечно, SIEM помогает предприятиям улучшить обнаружение угроз, улучшая видимость своей сети. Основное правило в кибербезопасности - вы не можете защитить то, что не видите.
Кроме того, SIEM может подключить ваше предприятие к различным источникам информации об угрозах, которые дополняют ваше обнаружение и реагирование. Возможности обнаружения угроз позволяют предприятиям обнаруживать цифровые угрозы в своих сетях. Они сокращают время ожидания злоумышленника, предотвращают компрометацию личных данных, сокращают затраты на восстановление и повышают доверие клиентов.
SIEM подходит только для крупного предприятия?
Среди наиболее актуальных вопросов SIEM для малого и среднего бизнеса. Когда-то это могло быть правдой, что только крупные компании могли извлечь выгоду из SIEM. Но из-за того, что парадигма кибербезопасности меняется так быстро, малым и средним предприятиям также нужна SIEM.
Однако лицам, принимающим решения в области ИТ на вашем предприятии, следует потратить время на изучение различных решений SIEM, чтобы убедиться, что их возможности соответствуют вашему корпоративному варианту использования. Некоторые решения SIEM могут оказаться более подходящими для вашей отрасли или размера вашего бизнеса.
С другой стороны, если вы SMB, вы также можете убедиться, что ваше решение SIEM может масштабироваться, если и когда ваш бизнес будет расти.
Как мне развернуть решение SIEM?
Тщательно и осознанно. SIEM может оказаться трудным для правильного развертывания, если вы попытаетесь использовать SIEM везде в своей сети одновременно. Кроме того, это может вызвать серьезные проблемы с внедрением и возможные проблемы с интеграцией, что приведет к перегрузке вашей ИТ-команды.
Поэтому вы должны отдавать приоритет развертыванию вашего решения SIEM. Выберите наиболее ценные, ценные и конфиденциальные базы данных и сначала разверните решение там. Следите за тем, как решение соответствует вашей корпоративной сети, и определите, где корректировки могут оказаться необходимыми. С этого момента развертывание в остальных ваших базах данных не должно быть такой сложной задачей.
Что потребуется SIEM?
Многие предприятия задают вопросы SIEM, но немногие не забывают спрашивать об этом.
Вся кибербезопасность - это улица с двусторонним движением. Правильное решение абсолютно составляет половину уравнения. Однако для другой половины ваша команда ИТ-безопасности и ваши сотрудники должны участвовать в ее оптимальной производительности.
SIEM требует хороших правил корреляции для своих предупреждений безопасности; ваша группа ИТ-безопасности должна регулярно отслеживать и обновлять эти правила корреляции. Кроме того, вам необходимо убедиться, что ваше решение SIEM интегрируется с другими вашими решениями кибербезопасности; проблема интеграции может привести к увеличению затрат и брешей в безопасности.
Но помимо этого, ваши сотрудники должны использовать лучшие практики кибербезопасности. Регулярное обучение кибербезопасности должно стать основной частью программ развития навыков ваших сотрудников.
Материалы
6 Enterprise SIEM Questions (You Were Afraid to Ask)
https://solutionsreview.com/security-information-event-management/6-enterprise-siem-questions-you-were-afraid-to-ask/