SIEM

SIEM (Security Information and Event Management) je kategória nástrojov, ktoré na jednom mieste zhromažďujú logy – záznamy o udalostiach – zo serverov, sieťových prvkov, firewallov, koncových zariadení, cloudových služieb a aplikácií. Systém ich normalizuje do jednotného formátu, uchováva a vyhodnocuje pomocou korelačných pravidiel, takže dokáže odhaliť súvislosti, ktoré by v jednotlivých zdrojoch zostali nepovšimnuté.

Zjednodušene: ak je každý server samostatná bezpečnostná kamera, SIEM je velín, kde sa všetky záznamy zbiehajú a kde niekto vidí, že tá istá osoba skúšala otvoriť troje rôznych dverí v priebehu piatich minút.

Ako SIEM funguje

• Zber dát – agenti alebo konektory posielajú logy z Windows a Linux serverov, Active Directory, VPN, e-mailových brán či cloudových platforiem.
• Normalizácia a obohatenie – záznamy sa zjednotia a doplnia o kontext, napríklad o kritickosť servera alebo o informáciu, či ide o privilegovaný účet.
• Korelácia – pravidlá a analytika hľadajú vzorce, napríklad sériu neúspešných prihlásení nasledovanú úspešným prihlásením z neobvyklej krajiny.
• Upozornenia a reporting – na podozrivé udalosti systém upozorní analytikov a zároveň poskytuje auditnú stopu pre neskoršie vyšetrovanie.

Prečo je SIEM dôležitý pre firmu

Útočníci sa v sieti často pohybujú postupne – od kompromitovaného koncového zariadenia cez získanie hesiel až po laterálny pohyb k serverom s citlivými dátami. Jednotlivé kroky vyzerajú nenápadne, v súvislostiach však tvoria jasný obraz. SIEM pomáha skrátiť čas medzi začiatkom útoku a jeho odhalením, čo priamo ovplyvňuje rozsah škôd, napríklad pri útoku typu ransomware.

Centralizované logy sú tiež dôležitým podkladom pri preukazovaní bezpečnostných opatrení voči audítorom a regulátorom. Konkrétne povinnosti podľa NIS2 a zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti závisia od typu organizácie, preto ich odporúčame overiť s odborníkom.

Typické chyby pri zavádzaní

• Zber „všetkého“ bez cieľa – objem logov rastie, náklady tiež, no použiteľných detekcií pribúda málo.
• Nevyladené pravidlá, ktoré generujú množstvo falošných poplachov; analytici si na ne zvyknú a prehliadnu skutočný problém.
• Chýbajúci proces – SIEM upozorní, ale nikto nemá určené, kto a ako reaguje. Nástroj preto musí nadväzovať na incident response a ideálne na tím SOC.
• Nekompletné zdroje, napríklad chýbajúce logy z doménových radičov alebo cloudových služieb.

SIEM nie je náhradou prevencie. Najlepšie funguje spolu s vulnerability managementom, hardeningom a riadením prístupov, ako opisujeme v článku o systematickom posilňovaní kybernetickej odolnosti.

Časté otázky

Aký je rozdiel medzi SIEM a SOC?

SIEM je technológia, ktorá zbiera a vyhodnocuje udalosti. SOC je tím a súbor procesov, ktoré s výstupmi SIEM pracujú – analyzujú upozornenia a riadia reakciu.

Môžeme začať v menšom rozsahu?

Áno. Rozumné je začať najkritickejšími zdrojmi, ako sú doménové radiče, firewally a prístupy privilegovaných účtov, a rozsah postupne rozširovať.

Ako SIEM súvisí s nástrojmi na manažment služieb?

Potvrdené bezpečnostné udalosti je vhodné evidovať a riešiť v nástroji na manažment služieb, napríklad v module incident riešenia Servio podľa ITIL, aby mali jasného vlastníka a históriu.

Ak chcete pripraviť infraštruktúru na centralizovaný zber logov a bezpečnú prevádzku, pozrite si našu starostlivosť o IT infraštruktúru alebo nás kontaktujte.