SIEM: Security In­for­ma­tion & Event Ma­na­ge­ment

Com o aumento da di­gi­ta­li­za­ção, modelos de trabalho híbridos e uma quan­ti­dade cada vez maior de dis­po­si­ti­vos de usuários, as empresas estão cada vez mais expostas às formas co­nhe­ci­das e des­co­nhe­ci­das de ci­be­ra­ta­ques. Por isso, conceitos de segurança como o SIEM (Security In­for­ma­tion & Event Ma­na­ge­ment) são cada vez mais im­por­tan­tes. Por meio de criação de pro­to­co­los, análises, coleta e or­ga­ni­za­ção de dados do sistema e de redes, é possível iden­ti­fi­car, rastrear e combater ra­pi­da­mente as ameaças virtuais.

O que é SIEM: Security In­for­ma­tion & Event Ma­na­ge­ment?

A sigla SIEM (Security In­for­ma­tion & Event Ma­na­ge­ment) significa ge­ren­ci­a­mento de eventos e in­for­ma­ções de segurança. Ela designa um conjunto de fer­ra­men­tas para dar às empresas mais trans­pa­rên­cia e controle sobre seus próprios dados. Com um conceito unificado de segurança e proteção, é possível iden­ti­fi­car an­te­ci­pa­da­mente situações suspeitas, ten­dên­cias de ataques, e padrões de ameaças. As fer­ra­men­tas do SIEM pos­si­bi­li­tam fazer isso por meio da criação de pro­to­co­los e análises de diversos dados de eventos e processos em todos os níveis da empresa – desde o nível dos dis­po­si­ti­vos de usuários, firewalls e IPS (sistemas de prevenção contra invasões) até o nível de redes, nuvens e ser­vi­do­res.

O SIEM combina SIM (ge­ren­ci­a­mento de in­for­ma­ções de segurança) e SEM (ge­ren­ci­a­mento de eventos de segurança) para avaliar as in­for­ma­ções e os in­ci­den­tes de segurança em tempo real, em seus contextos e em cor­re­la­ção. Ele gera ad­ver­tên­cias e inicia medidas de solução de problemas de segurança. Po­ten­ci­ais falhas na segurança e pontos fracos podem ser iden­ti­fi­ca­dos e so­lu­ci­o­na­dos com an­te­ce­dên­cia, ten­ta­ti­vas de ataque podem ser ra­pi­da­mente in­ter­rom­pi­das. O conceito de SIEM foi criado em 2005 pela empresa Gartner. Im­por­tan­tes com­po­nen­tes das soluções modernas de SIEM incluem: UBA (análises de com­por­ta­mento de usuários), UEBA (análises de com­por­ta­mento de usuários e entidades) e SOAR (or­ques­tra­ção, automação e resposta de segurança).

Im­por­tân­cia do SIEM

Hoje em dia, a in­fra­es­tru­tura de TI das empresas já não se restringe mais a um servidor e alguns dis­po­si­ti­vos de usuários. Até as empresas de médio porte já têm redes cor­po­ra­ti­vas de maior ou menor com­ple­xi­dade compostas por diversos dis­po­si­ti­vos co­nec­ta­dos à internet, um cenário próprio de softwares e vários serviços de ser­vi­do­res e nuvens. Além disso, cada vez mais empresas permitem a re­a­li­za­ção de home office ou in­cen­ti­vam seus fun­ci­o­ná­rios a usarem seus próprios dis­po­si­ti­vos no trabalho, como na política bring your own device (BYOD).

Quanto mais complexa é a in­fra­es­tru­tura de TI, mais pontos fracos podem existir na ci­ber­se­gu­rança. Portanto, cada vez mais empresas contam com um sistema abran­gente de proteção contra ran­somware, spyware, scareware, além de novas formas de ci­be­ra­ta­ques e ataques de vul­ne­ra­bi­li­dade de dia zero.

Além da quan­ti­dade cada vez maior de ameaças virtuais, rigorosas re­gu­la­men­ta­ções de proteção de dados também aumentam a im­por­tân­cia de soluções como o SIEM para as empresas. Os re­qui­si­tos da Lei Geral de Proteção de Dados (LGPD) de 2018 ou cer­ti­fi­ca­ções como ISO ou SOX mencionam como pré-requisito a exis­tên­cia de um conceito de proteção de sistemas e dados. Esse conceito fre­quen­te­mente só pode ser im­ple­men­tado com um SIEM ou soluções se­me­lhan­tes, como EDR e XDR.

Ao reunir, avaliar e combinar em uma pla­ta­forma central os dados de re­la­tó­rios e pro­to­co­los re­le­van­tes para a segurança, o SIEM permite analisar ob­je­ti­va­mente a segurança dos dados de todos os apli­ca­ti­vos e níveis de redes. Quanto mais cedo as ameaças ou falhas de segurança forem de­tec­ta­das, mais ra­pi­da­mente o usuário pode reduzir os riscos para processos cor­po­ra­ti­vos e para os dados da empresa. Portanto, o SIEM aumenta con­si­de­ra­vel­mente a efi­ci­ên­cia no cum­pri­mento de con­for­mi­da­des e na proteção em tempo real contra ameaças, como ran­somware, malware ou roubo de dados.

Fun­ci­o­na­mento do SIEM

O acrônimo SIEM foi criado em 2005 por Amrit Williams e Mark Nicolett da empresa Gartner. Conforme a definição oficial do Instituto Nacional de Padrões e Tec­no­lo­gia (NIST) dos Estados Unidos, o SIEM é um apli­ca­tivo que coleta dados de segurança de com­po­nen­tes in­di­vi­du­ais de um sistema de in­for­ma­ção e apresenta esses dados em uma interface de usuário que permite ter uma visão geral e orientar a re­a­li­za­ção de ações. Essa definição já explica como funciona essa fer­ra­menta. Ao contrário de um firewall, que defende contra ameaças virtuais imediatas, o SIEM permite a coleta e análise de dados em in­ter­va­los regulares para iden­ti­fi­car padrões que podem indicar ten­dên­cias ocultas de ameaças.

Um sistema SIEM pode ser im­ple­men­tado on premise, como solução em nuvem ou como variante híbrida com com­po­nen­tes equipados no local e na nuvem. Desde a coleta de dados até a emissão de ad­ver­tên­cias de segurança, o processo é composto quatro etapas ex­pli­ca­das a seguir:

Etapa 1: Coleta de dados do sistema

A solução SIEM registra e coleta dados a partir de diversos níveis, camadas e com­po­nen­tes da in­fra­es­tru­tura de TI. Alguns exemplos de fontes de dados são ser­vi­do­res, ro­te­a­do­res, firewalls, programas antivírus, switches, IPs, IDS e dis­po­si­ti­vos de usuários. O registro e a coleta de dados são feitos em com­bi­na­ção com segurança de endpoint ou XDR (Extended Detection and Response). Além disso, também são uti­li­za­dos sistemas de pro­to­co­los, re­la­tó­rios e segurança co­nec­ta­dos.

Etapa 2: Agregação dos dados coletados

Os dados coletados são resumidos em uma visão geral cla­ra­mente or­ga­ni­zada na interface de usuário central. A coleta e a pre­pa­ra­ção dos dados em um painel unificado facilita a análise geral de di­fe­ren­tes pro­to­co­los e re­la­tó­rios pro­ve­ni­en­tes de vários apli­ca­ti­vos in­di­vi­du­ais.

Etapa 3: Análise e cor­re­la­ção dos dados coletados

O apli­ca­tivo analisa os dados coletados e resumidos à procura de sinais de vírus e malwares co­nhe­ci­dos e eventos suspeitos, como logins a partir de redes VPN ou dados de login in­cor­re­tos. Também são apre­sen­ta­dos ao usuário in­ci­den­tes gerais re­la­ci­o­na­dos à segurança, como anexos suspeitos ou ati­vi­da­des incomuns. Ao vincular, ca­te­go­ri­zar, cor­re­la­ci­o­nar e clas­si­fi­car os dados, o apli­ca­tivo permite rastrear e isolar ra­pi­da­mente os pontos fracos ex­plo­ra­dos por invasões, além de proteger contra ameaças e amenizar os efeitos de ataques. Com a ca­te­go­ri­za­ção em níveis de segurança, também é possível reagir com rapidez ao dis­tin­guir ameaças urgentes ou ocultas de anomalias que não pre­ju­di­cam a segurança.

Etapa 4: Re­co­nhe­cer ameaças, pontos fracos e falhas de segurança

Se for iden­ti­fi­cada uma situação ame­a­ça­dora, ad­ver­tên­cias au­to­má­ti­cas pos­si­bi­li­tam reduzir ao mínimo os tempos de reação e combater as ameaças em tempo real. Ao invés de passar muito tempo pro­cu­rando as fontes de perigos e anomalias, a emissão imediata de ad­ver­tên­cias permite encontrá-las com mais fa­ci­li­dade e colocar arquivos em qua­ren­tena, por exemplo. Além disso, situações de ameaças ocorridas an­te­ri­or­mente podem ser re­cons­truí­das para otimizar os processos de segurança.

Em com­bi­na­ção com uma solução XDR com in­te­li­gên­cia ar­ti­fi­cial in­cor­po­rada, me­ca­nis­mos de defesa como qua­ren­tena e bloqueio de dis­po­si­ti­vos de usuários ou IPs podem ser im­ple­men­ta­dos ra­pi­da­mente por meio de fluxos de trabalho pre­de­fi­ni­dos e au­to­ma­ti­za­dos. Feeds sobre ameaças em tempo real que fornecem as­si­na­tu­ras atu­a­li­za­das e dados de segurança também permitem detectar novos tipos de ataques e ameaças em estados iniciais.

Com­po­nen­tes SIEM mais im­por­tan­tes

Em uma solução como o SIEM, diversos com­po­nen­tes co­or­de­na­dos devem entrar em ação para gerar uma coleta de dados abran­gente e uma avaliação sem falhas. Alguns desses com­po­nen­tes são:

Resumo de vantagens do SIEM

Devido ao aumento dos riscos virtuais para as empresas, já não basta ter simples firewalls e antivírus para proteger as redes e os sistemas. Prin­ci­pal­mente em es­tru­tu­ras híbridas com mul­ti­clouds e nuvens híbridas é essencial im­ple­men­tar soluções de segurança mais rigorosas, como EDR, XDR e SIEM ou, em casos ideais, uma com­bi­na­ção de dois ou mais desses serviços. Somente assim é possível utilizar dis­po­si­ti­vos de usuários e serviços em nuvem com segurança e re­co­nhe­cer com an­te­ce­dên­cia eventuais ameaças.

Algumas das prin­ci­pais vantagens que o SIEM oferece são:

Detecção de ameaças em tempo real

Com a abordagem abran­gente em forma de coleta de dados e avaliação geral do sistema, as situações ame­a­ça­do­ras podem ser iden­ti­fi­ca­das e com­ba­ti­das com rapidez. A redução do tempo médio de detecção (MTTD) e do tempo médio de reação (MTTR) con­tri­buem para a proteção eficiente de dados con­fi­den­ci­ais e processos es­sen­ci­ais para as empresas.

Cum­pri­mento de normas restritas de proteção de dados

Os sistemas SIEM asseguram a criação de pro­to­co­los e análises de ameaças es­sen­ci­ais para uma in­fra­es­tru­tura de TI conforme os padrões e as normas em vigor. Esses sistemas oferecem os recursos ne­ces­sá­rios para cumprir todos os padrões de re­la­tó­rios e de segurança com ar­ma­ze­na­mento e pos­si­bi­li­dade de revisão do pro­ces­sa­mento de dados con­fi­den­ci­ais.

Economia de tempo e custos

A apre­sen­ta­ção, vi­su­a­li­za­ção e in­ter­pre­ta­ção de todos os dados re­le­van­tes para a segurança de maneira cen­tra­li­zada em uma visão geral na interface de usuário aumentam a efi­ci­ên­cia da segurança de TI. Isso também reduz a quan­ti­dade de tempo e os custos que seriam ne­ces­sá­rios para im­ple­men­tar ma­nu­al­mente as medidas de segurança tra­di­ci­o­nais. Prin­ci­pal­mente a análise e a cor­re­la­ção de dados au­to­ma­ti­za­das e, em alguns sistemas até mesmo baseadas em in­te­li­gên­cia ar­ti­fi­cial, aceleram o combate a ameaças. Além disso, os altos custos de reparos em sistemas invadidos ou para a remoção de malware podem ser evitados ao usar soluções pre­ven­ti­vas como o SIEM.

A pos­si­bi­li­dade de usar o SIEM como SaaS (Software as a Service) ou por Managed Security Services pos­si­bi­lita que mesmo empresas pequenas, com or­ça­men­tos limitados e sem um de­par­ta­mento próprio de segurança em TI, protejam as redes de suas empresas de maneira confiável.

Au­to­ma­ti­za­ção com in­te­li­gên­cia ar­ti­fi­cial e apren­di­zado de máquina

Com sistemas SIEM, é possível alcançar um alto nível de au­to­ma­ti­za­ção e combate in­te­li­gente às ameaças por meio de in­te­li­gên­cia ar­ti­fi­cial e apren­di­zado de máquinas. As soluções SIEM também podem, por exemplo, ser usadas em sistemas SOAR (or­ques­tra­ção, automação e resposta de segurança) ou em com­bi­na­ção com uma solução já existente de endpoint ou com uma solução XDR.