Firewalls, endpoints, Microsoft 365, cloud υπηρεσίες και συστήματα ταυτότητας μπορούν να δημιουργούν καθημερινά μεγάλο αριθμό security events. Το πρόβλημα για μια επιχείρηση δεν είναι μόνο να υπάρχουν αυτά τα δεδομένα, αλλά να μπορεί να συνδέσει τα σημαντικά γεγονότα και να αντιληφθεί εγκαίρως ότι κάτι ύποπτο συμβαίνει.
Εδώ χρησιμοποιείται το Security Information and Event Management (SIEM). Ένα SIEM συγκεντρώνει δεδομένα ασφαλείας από διαφορετικές πηγές και βοηθά στην αναζήτηση, συσχέτιση, ανίχνευση και διερεύνηση πιθανών περιστατικών. Δεν είναι όμως ένα εργαλείο που «εγκαθίσταται και ξεχνιέται»: χρειάζεται σωστές πηγές δεδομένων, detection logic και ανθρώπους ή υπηρεσία που αξιολογούν τα alerts.
Τι είναι το SIEM;
Το SIEM είναι μια πλατφόρμα κεντρικής συλλογής και ανάλυσης security δεδομένων. Σύμφωνα με το NIST, η τεχνολογία SIEM παρέχει δυνατότητες centralized logging για διαφορετικούς τύπους logs.
Οι σύγχρονες πλατφόρμες μπορούν να προχωρούν πέρα από την απλή αποθήκευση logs και να υποστηρίζουν detection, correlation, investigation, threat hunting και αυτοματισμούς απόκρισης. Οι ακριβείς δυνατότητες διαφέρουν ανά προϊόν, αρχιτεκτονική και συνδρομή.
Τι δεδομένα μπορεί να συγκεντρώνει;
Η αξία ενός SIEM εξαρτάται σε μεγάλο βαθμό από τις πηγές που έχουν πραγματικά συνδεθεί. Ανάλογα με το περιβάλλον της επιχείρησης, μπορούν να αξιοποιούνται δεδομένα από:
- firewalls και άλλες network-security συσκευές,
- endpoints και servers,
- EDR ή άλλες security πλατφόρμες,
- identity και authentication systems,
- Microsoft 365 και άλλες SaaS υπηρεσίες,
- cloud υποδομές,
- VPN και remote-access συστήματα,
- DNS και κρίσιμες εταιρικές εφαρμογές.
Η κεντρική συλλογή βοηθά επειδή μια επίθεση σπάνια αφήνει μόνο ένα ίχνος. Ένα ύποπτο login μπορεί να αποκτήσει μεγαλύτερη σημασία όταν ακολουθείται από administrative αλλαγή και ασυνήθιστη δραστηριότητα σε endpoint ή cloud υπηρεσία.
Για περισσότερα σχετικά με τα δικτυακά σημάδια μιας επίθεσης, δείτε τον οδηγό για το πώς εντοπίζεται κακόβουλη κίνηση στο εταιρικό δίκτυο.
Τι κάνει ένα SIEM με αυτά τα δεδομένα;
Η απλή συγκέντρωση logs δεν αποτελεί από μόνη της αποτελεσματικό security monitoring. Ένα SIEM μπορεί να εφαρμόζει κανόνες, analytics και άλλους μηχανισμούς ώστε να εντοπίζονται γεγονότα ή συνδυασμοί γεγονότων που χρειάζονται διερεύνηση.
Για παράδειγμα, ένα μεμονωμένο failed login μπορεί να μην έχει ιδιαίτερη σημασία. Ένας ασυνήθιστος συνδυασμός authentication events, αλλαγών privileges και δραστηριότητας σε διαφορετικά συστήματα μπορεί όμως να δικαιολογεί alert και investigation.
Οι σύγχρονες SIEM πλατφόρμες μπορούν επίσης να παρέχουν εργαλεία αναζήτησης, incident investigation, threat hunting και αυτοματοποιημένες ενέργειες. Η επίσημη τεκμηρίωση του Microsoft Sentinel, για παράδειγμα, περιγράφει συλλογή δεδομένων, threat detection, investigation, hunting και response ως βασικές λειτουργίες της πλατφόρμας.
SIEM και EDR: Ποια είναι η διαφορά;
Το EDR επικεντρώνεται κυρίως στην ορατότητα, ανίχνευση, διερεύνηση και απόκριση στα endpoints. Το SIEM έχει ευρύτερο ρόλο: μπορεί να συγκεντρώνει security δεδομένα από endpoints αλλά και από identities, firewalls, cloud υπηρεσίες, εφαρμογές και άλλες πηγές.
Επομένως οι δύο τεχνολογίες δεν είναι απαραίτητα ανταγωνιστικές. Ένα EDR μπορεί να αποτελεί μία από τις σημαντικές πηγές telemetry και alerts ενός SIEM.
Αν χρειάζεστε περισσότερες λεπτομέρειες για την endpoint πλευρά, δείτε τη διαφορά μεταξύ EDR και antivirus.
SIEM και SOC: Είναι το ίδιο πράγμα;
Όχι. Το SIEM είναι τεχνολογία. Το Security Operations Center (SOC) αφορά τη λειτουργία security operations: ανθρώπους, διαδικασίες και τεχνολογίες που χρησιμοποιούνται για monitoring, triage, investigation και response.
Ένα SOC μπορεί να χρησιμοποιεί SIEM ως κεντρικό εργαλείο, αλλά η αγορά μιας SIEM πλατφόρμας δεν δημιουργεί από μόνη της SOC.
Αυτό είναι ιδιαίτερα σημαντικό για μια ΜΜΕ. Αν κανείς δεν παρακολουθεί τα alerts ή δεν υπάρχει διαδικασία για να αποφασιστεί τι πρέπει να γίνει όταν εμφανιστεί πραγματικό incident, η τεχνολογία από μόνη της έχει περιορισμένη αξία.
SIEM και MDR: Πού διαφέρουν;
Το Managed Detection and Response (MDR) είναι υπηρεσία και όχι απλώς κατηγορία λογισμικού. Ο πάροχος αναλαμβάνει συγκεκριμένες λειτουργίες monitoring, detection, investigation και response σύμφωνα με το scope της υπηρεσίας.
Ένα MDR μπορεί να αξιοποιεί SIEM, EDR, XDR ή συνδυασμό τεχνολογιών. Για αυτό, όταν μια επιχείρηση αξιολογεί managed security υπηρεσία, πρέπει να εξετάζει τι πραγματικά περιλαμβάνεται: ποιες πηγές παρακολουθούνται, ποιες ώρες υπάρχει κάλυψη, πώς γίνεται το triage, ποιος διερευνά ένα alert και ποιες ενέργειες response επιτρέπονται.
Πότε έχει νόημα το SIEM για μια ΜΜΕ;
Δεν χρειάζεται κάθε μικρή επιχείρηση να εγκαταστήσει αυτόνομα μια σύνθετη SIEM πλατφόρμα. Η ανάγκη αυξάνεται όταν το IT περιβάλλον έχει αρκετές διαφορετικές πηγές security δεδομένων και η απομονωμένη παρακολούθησή τους δυσκολεύει την έγκαιρη ανίχνευση και διερεύνηση περιστατικών.
Ενδείξεις ότι αξίζει να αξιολογηθεί μια SIEM ή managed-monitoring προσέγγιση είναι:
- υπάρχουν πολλαπλά cloud, identity, endpoint και network-security συστήματα,
- τα σημαντικά logs βρίσκονται σε διαφορετικά consoles,
- χρειάζεται συσχέτιση γεγονότων μεταξύ διαφορετικών συστημάτων,
- υπάρχει ανάγκη για καλύτερη διερεύνηση security incidents,
- η επιχείρηση διαθέτει κρίσιμα δεδομένα ή υποδομές που απαιτούν αυξημένο monitoring,
- υπάρχει άνθρωπος ή συνεργάτης που μπορεί πραγματικά να διαχειρίζεται detections και alerts.
Γιατί ένα SIEM μπορεί να αποτύχει;
Ένα συχνό λάθος είναι η αντιμετώπιση του SIEM ως έργου εγκατάστασης λογισμικού. Η αποτελεσματικότητα εξαρτάται από το τι δεδομένα συλλέγονται και τι γίνεται με αυτά.
Αν συνδεθούν αδιάκριτα πολλές πηγές χωρίς σαφή στόχο, μπορεί να δημιουργηθεί μεγάλος όγκος δεδομένων, alerts και λειτουργικού κόστους χωρίς αντίστοιχη βελτίωση στην ασφάλεια. Αντίθετα, αν λείπουν κρίσιμες πηγές, η πλατφόρμα μπορεί να μην έχει τα στοιχεία που χρειάζονται για μια ουσιαστική διερεύνηση.
Χρειάζονται επίσης κατάλληλοι detection rules, tuning, prioritization και διαδικασία triage. Το SIEM δεν γνωρίζει από μόνο του αν κάθε ασυνήθιστη ενέργεια είναι κακόβουλη ή νόμιμη επιχειρηματική δραστηριότητα.
Τι πρέπει να ελέγξετε πριν επενδύσετε σε SIEM;
- Use cases: Ποια περιστατικά θέλετε να μπορείτε να εντοπίζετε ή να διερευνάτε;
- Data sources: Ποια logs και security telemetry χρειάζονται πραγματικά;
- Coverage: Υπάρχουν κρίσιμα συστήματα που δεν μπορούν να στείλουν τα απαιτούμενα δεδομένα;
- Detection: Ποιος δημιουργεί, ελέγχει και βελτιώνει τους κανόνες και τα analytics;
- Monitoring: Ποιος εξετάζει τα alerts και σε ποιες ώρες;
- Response: Τι συμβαίνει όταν επιβεβαιωθεί ένα πραγματικό περιστατικό;
- Retention και κόστος: Πόσα δεδομένα πρέπει να αποθηκεύονται και για πόσο χρόνο;
Η διαχείριση logs είναι από μόνη της οργανωτική διαδικασία και όχι απλώς τεχνικό feature. Το NIST SP 800-92 περιγράφει την ανάγκη σχεδιασμού υποδομής και διαδικασιών για αποτελεσματικό log management.
Πώς συνδέεται το SIEM με το Incident Response;
Το SIEM μπορεί να βοηθήσει μια ομάδα να εντοπίσει ένα πιθανό περιστατικό και να συγκεντρώσει στοιχεία για τη διερεύνησή του. Δεν αντικαθιστά όμως το Incident Response Plan.
Όταν ένα alert επιβεβαιωθεί, πρέπει να υπάρχει διαδικασία για αξιολόγηση, containment, συλλογή στοιχείων, αποκατάσταση και ασφαλή επαναφορά των λειτουργιών. Δείτε αναλυτικά τι πρέπει να περιλαμβάνει ένα Incident Response για επιχειρήσεις.
Πώς μπορεί να βοηθήσει η DataShield
Πριν μια ΜΜΕ επενδύσει σε SIEM, χρειάζεται να γνωρίζει ποιες πηγές security δεδομένων διαθέτει ήδη, ποια περιστατικά θέλει να εντοπίζει και ποιος θα αναλαμβάνει το monitoring και την απόκριση.
Η DataShield μπορεί να αξιολογήσει το υπάρχον περιβάλλον, τα security logs, τα endpoint και network controls και τις διαδικασίες incident response, ώστε να εντοπιστεί αν χρειάζεται κεντρικό SIEM, managed monitoring ή διαφορετική προσέγγιση.
Συμπέρασμα
Το SIEM δίνει σε μια επιχείρηση τη δυνατότητα να συγκεντρώνει και να συσχετίζει security δεδομένα από διαφορετικά σημεία της υποδομής. Η πραγματική του αξία όμως εμφανίζεται όταν υπάρχουν σωστές πηγές, χρήσιμα detections και κάποιος που μπορεί να διερευνήσει και να αντιμετωπίσει τα σημαντικά alerts.
Για μια ΜΜΕ, επομένως, η σωστή ερώτηση δεν είναι «χρειαζόμαστε SIEM επειδή είναι προηγμένο εργαλείο;». Είναι αν έχουμε αρκετή πολυπλοκότητα και κίνδυνο ώστε η κεντρική παρακολούθηση να βελτιώνει ουσιαστικά το detection και το response — και αν υπάρχει η επιχειρησιακή δυνατότητα να αξιοποιηθεί.
