SIEM, czyli Security Information and Event Management, to system stosowany w miejscach, gdzie istnieje potrzeba skorelowania informacji pochodzących z wielu źródeł. Wdrożenie SIEM w organizacji pozwala sprawnie monitorować potencjalne zagrożenia i reagować na podejrzany ruch w sieci komputerowej.

SIEM co to takiego i skąd pochodzi?

System SIEM powstał z połączenia dwóch dotychczasowo istniejących systemów: SEM i SIM. Pierwszy z nich służy do gromadzenia informacji o incydentach bezpieczeństwa, a drugi z nich do zbierania plików informacji o zabezpieczeniach. W wyniku zintegrowania technologii SEM i SIM powstał system, który zbiera dane z dziennika zdarzeń ze wszystkich dostępnych źródeł, rozpoznaje podejrzaną aktywność i podejmuje działania polegające na zapobieganiu cyberatakom. Zastosowanie technologii SIEM oprócz przeciwdziałania atakom na infrastrukturę pozwala dostosować zarządzanie zdarzeniami i informacjami do obowiązujących przepisów prawnych.

W jaki sposób SIEM chroni przed atakami?

Każda technologia SIEM jest oparta na tych samych podstawowych funkcjach. Poszczególne systemy SIEM mogą różnić się między sobą możliwościami, ale każdy z nich działa według trzech głównych zasad:

1. Zarządzanie dziennikiem – technologia SIEM gromadzi w jednym miejscu zebrane z wielu źródeł ogromne ilości danych, układa je w określonym porządku i sprawdza, czy wśród nich są takie, które wykazują oznaki zagrożenia, cyberataku lub naruszenia zabezpieczeń.
2. Korelacja zdarzeń – wyselekcjonowane dane z podejrzeniami naruszeń są sortowane, aby zidentyfikować zachodzące między nimi relacje i wzorce. Ułatwia to zidentyfikowanie potencjalnych zagrożeń w znacznie krótszym czasie.
3. Monitorowanie zdarzeń i reagowanie – system SIEM na bieżąco monitoruje incydenty zabezpieczeń w sieci należącej do organizacji i udostępnia informację zwrotną dotyczącą aktywności związanej z incydentem.

Jakie są korzyści z używania SIEM?

Technologia SIEM pozwala wzmocnić ogólny stan zabezpieczeń w organizacji. Korzyści płynące z jej wdrożenia to m.in.:

• monitorowanie wszystkich zagrożeń z jednego miejsca,
• identyfikowanie incydentów i reagowanie w czasie rzeczywistym,
• transparentność monitorowania urządzeń, aplikacji i użytkowników,
• szczegółowa analiza zagrożeń.