Kaj je SIEM (upra­vlja­nje var­no­stnih in­for­ma­cij in dogodkov)?

Podjetja se zaradi vse večje di­gi­ta­li­za­ci­je, hibridnih modelov dela in ra­zno­li­ko­sti končnih naprav soočajo tako z znanimi kot neznanimi ki­ber­net­ski­mi grožnjami. Zato so varnostni koncepti, kot je SIEM (Security In­for­ma­ti­on & Event Ma­na­ge­ment), po­memb­nej­ši kot kdaj koli prej. Z be­le­že­njem, analizo in obdelavo sis­tem­skih in omrežnih podatkov je mogoče varnostne grožnje hitro pre­po­zna­ti, slediti jim in jih ublažiti.

Kaj je SIEM?

Kratica SIEM pomeni »Security In­for­ma­ti­on & Event Ma­na­ge­ment« (upra­vlja­nje var­no­stnih in­for­ma­cij in dogodkov), kar podjetjem omogoča večjo pre­gle­dnost in nadzor nad lastnimi podatki. Stan­dar­di­zi­ran koncept varnosti in zaščite omogoča zgodnje od­kri­va­nje sumljivih var­no­stnih in­ci­den­tov, trendov napadov in vzorcev groženj. To omogočajo orodja, ki beležijo in ana­li­zi­ra­jo različne podatke o dogodkih in procesih na vseh ravneh podjetja, od končnih naprav prek požarnih zidov in sistemov za pre­pre­če­va­nje vdorov (IPS) do ravni omrežja, oblaka in stre­žni­kov.

SIEM združuje tako SIM (upra­vlja­nje var­no­stnih in­for­ma­cij) kot SEM (upra­vlja­nje var­no­stnih dogodkov), da v realnem času kon­te­kstu­al­no in ko­re­la­tiv­no ocenjuje varnostne in­for­ma­ci­je in incidente, ustvarja opozorila ter sproža varnostne ukrepe. Ta pristop omogoča zgodnje od­kri­va­nje in ublažitev po­ten­ci­al­nih ran­lji­vo­sti ter var­no­stnih kršitev, pa tudi hitro pre­pre­če­va­nje mo­re­bi­tnih poskusov napadov. Koncept SIEM je leta 2005 uvedel Gartner. Bistveni elementi sodobnih rešitev SIEM vklju­ču­je­jo UBA (analiza vedenja upo­rab­ni­kov), UEBA (analiza vedenja upo­rab­ni­kov in entitet) ter SOAR (uskla­je­va­nje, av­to­ma­ti­za­ci­ja in odzivanje na varnostne dogodke).

Zakaj je upra­vlja­nje var­no­stnih in­for­ma­cij in dogodkov pomembno?

Danes IT-in­fra­struk­tu­ra podjetja ne obsega več le strežnika in nekaj končnih naprav. Tudi srednje velika podjetja upo­ra­blja­jo bolj ali manj zapletena pod­je­tni­ška omrežja, ki jih sestavlja veliko število končnih naprav z dostopom do interneta, lastno pro­gram­sko okolje ter več stre­žni­kov in storitev v oblaku. K temu se dodajajo še novi modeli dela, kot sta delo od doma ali »prinesi svojo napravo« (BYOD).

Bolj kot je in­for­ma­cij­ska in­fra­struk­tu­ra zapletena, več ran­lji­vo­sti se lahko pojavi, če je ki­ber­net­ska varnost ne­za­do­stna. Zato se vedno več podjetij zanaša na celovito zaščito pred iz­si­lje­val­sko pro­gram­sko opremo, vohunsko pro­gram­sko opremo in pro­gram­sko opremo za ustra­ho­va­nje ter pred novimi oblikami ki­ber­net­skih napadov in iz­ko­ri­šča­njem ran­lji­vo­sti »zero-day«.

Varnostne rešitve, kot je SIEM, postajajo za podjetja vse po­memb­nej­še, in to ne le zaradi ne­po­sre­dnih groženj. Stroge zahteve glede varstva podatkov v skladu z GDPR ali cer­ti­fi­ka­ti, kot so BASE II, ISO ali SOX, zdaj celo zahtevajo koncept zaščite podatkov in sistemov. To je pogosto mogoče doseči le s pomočjo SIEM-a ali podobnih strategij, kot sta EDR in XDR.

S tem, da sistem SIEM na centralni platformi združuje, ocenjuje in povezuje podatke iz dnevnikov in poročil, pomembne za varnost, omogoča varnostno usmerjeno analizo podatkov iz vseh aplikacij in omrežnih ravni. Čim prej na ta način odkrijete grožnje ali varnostne luknje, tem hitreje lahko zmanjšate tveganja za svoje poslovne procese in zaščitite podatke podjetja**. Sistem SIEM tako za­go­ta­vlja znatno povečanje učin­ko­vi­to­sti pri za­go­ta­vlja­nju skla­dno­sti z za­ko­no­da­jo in zaščiti v realnem času pred grožnjami, kot so iz­si­lje­val­ska pro­gram­ska oprema, zlo­na­mer­na pro­gram­ska oprema ali kraja podatkov.

Kako deluje sistem SIEM?

Izraz »SIEM« sta leta 2005 uvedla Amrit Williams in Mark Nicolett iz podjetja Gartner. Po uradni opre­de­li­tvi Na­ci­o­nal­ne­ga inštituta za standarde in teh­no­lo­gi­jo (NIST) je SIEM apli­ka­ci­ja, ki zbira varnostne podatke iz različnih elementov in­for­ma­cij­ske­ga sistema in jih prikazuje na centralni nadzorni plošči na or­ga­ni­zi­ran in akcijsko usmerjen način. To že povzema njegovo funk­ci­o­nal­nost, saj se SIEM, za razliko od požarnega zidu, ki ščiti pred akutnimi ki­ber­net­ski­mi grožnjami, opira na traj­no­stno, pro­ak­tiv­no zbiranje in analizo podatkov, ki lahko raz­kri­je­jo tudi skrite napade ali trende groženj.

Sistem SIEM se lahko vzpostavi lokalno, kot rešitev v oblaku ali kot hibridna različica z lokalnimi in oblačnimi kom­po­nen­ta­mi. Postopek od zbiranja podatkov do var­no­stnih opozoril obsega naslednje štiri faze:

1. faza: Zbiranje podatkov iz različnih virov v sistemu

Rešitev SIEM beleži in zbira podatke z različnih ravni, plasti in komponent vaše IT-in­fra­struk­tu­re. To vključuje strežnike, usmer­je­val­ni­ke, požarne zidove, pro­ti­vi­ru­sne programe, stikala, IP-naslove in sisteme za od­kri­va­nje vdorov (IDS) ter končne naprave, in­te­gri­ra­ne z var­no­stni­mi rešitvami za končne točke ali XDR (Extended Detection and Response). Za ta namen se upo­ra­blja­jo povezani sistemi za beleženje, poročanje in varnost.

2. faza: Zbiranje zbranih podatkov

Zbrani podatki so na osrednjem upo­rab­ni­škem vmesniku prikazani na jasen in pregleden način. Z zbiranjem in urejanjem podatkov prek nadzorne plošče ni več potrebno dol­go­traj­no ana­li­zi­ra­nje različnih dnevnikov in poročil iz po­sa­me­znih aplikacij.

3. faza: Analiza in po­ve­zo­va­nje agre­ga­tnih podatkov

Apli­ka­ci­ja analizira zbrane in povzete podatke ter išče znane podpisne kode virusov in zlo­na­mer­ne pro­gram­ske opreme ter sumljive dogodke, kot so prijave iz omrežij VPN ali napačni podatki za prijavo. Prav tako opozarja na nenavadno rabo, sumljive priloge ali druge opazne de­jav­no­sti, povezane z varnostjo. S po­ve­zo­va­njem, urejanjem, pri­mer­ja­njem in raz­vr­šča­njem podatkov apli­ka­ci­ja omogoča hitro sledenje in izolacijo poti vdora, kar omogoča ublažitev ali celo nev­tra­li­za­ci­jo groženj. Poleg tega z do­de­lje­va­njem var­no­stnih ravni hitro obravnava tako očitne kot skrite napade, hkrati pa izključi ne­ško­dlji­ve anomalije.

4. stopnja: Od­kri­va­nje groženj, ran­lji­vo­sti ali var­no­stnih kršitev

Če se zazna grožnja, av­to­mat­ska opozorila omogočajo hitrejši odziv in takojšnjo nev­tra­li­za­ci­jo grožnje. Namesto da bi dol­go­traj­no iskali vir ne­var­no­sti ali ne­pra­vil­no­sti, jih lahko prek opozorila hitro natančno določite in jih po potrebi izolirate v karanteni. Poleg tega je mogoče re­kon­stru­i­ra­ti pretekle grožnje, kar omogoča iz­bolj­ša­nje var­no­stnih postopkov.

V povezavi z rešitvijo XDR z vgrajeno umetno in­te­li­gen­co je mogoče z vnaprej do­lo­če­ni­mi, av­to­ma­ti­zi­ra­ni­mi delovnimi tokovi še posebej hitro vzpo­sta­vi­ti zaščitne mehanizme, kot so karantena ali blo­ki­ra­nje končnih naprav ali IP-naslovov. Podatki o grožnjah v realnem času, ki nenehno po­so­da­blja­jo podpisne datoteke in varnostne podatke, omogočajo tudi zgodnje od­kri­va­nje novih vrst napadov in groženj.

Pregled naj­po­memb­nej­ših elementov sistema SIEM

Za za­go­to­vi­tev ce­lo­vi­te­ga zbiranja in analize podatkov v okviru rešitve SIEM se upo­ra­blja­jo različne usklajene kom­po­nen­te. Mednje spadajo:

Prednosti sistema za upra­vlja­nje var­no­stnih in­for­ma­cij in dogodkov (SIEM)

Zaradi vse večjih ki­ber­net­skih tveganj za podjetja preprosti požarni zidovi ali pro­ti­vi­ru­sni programi ponavadi ne za­do­stu­je­jo več za zaščito omrežij in sistemov. Zlasti pri hibridnih struk­tu­rah z ve­č­o­blač­ni­mi in hi­bri­dni­mi oblaki so potrebne napredne rešitve, kot so EDR, XDR in SIEM, ali v idealnem primeru kom­bi­na­ci­ja dveh ali več storitev. Le tako je mogoče varno upo­ra­blja­ti končne naprave in oblačne storitve ter grožnje odkriti že v zgodnji fazi.

Med prednosti, ki vam jih ponuja sistem SIEM, spadajo:

Za­zna­va­nje groženj v realnem času

Za­hva­lju­joč ce­lo­stne­mu pristopu v obliki zbiranja in vre­dno­te­nja podatkov na ravni celotnega sistema je mogoče grožnje hitro pre­po­zna­ti in jim pre­pre­či­ti. Zaradi skraj­ša­ne­ga pov­preč­ne­ga časa do odkritja (MTTD) in pov­preč­ne­ga časa do odziva (MTTR) je mogoče ob­ču­tlji­ve podatke in poslovno kritične procese za­ne­slji­vo zaščititi.

Upo­šte­va­nje zahtev glede skla­dno­sti in varstva podatkov

Sistemi SIEM z natančnim be­le­že­njem in analizo groženj za­go­ta­vlja­jo IT-in­fra­struk­tu­ro, ki je skladna z za­ko­no­da­jo. Ta in­fra­struk­tu­ra iz­pol­nju­je vse bistvene varnostne standarde in standarde poročanja, potrebne za varno shra­nje­va­nje podatkov ter njihovo obdelavo v skladu z re­vi­zij­ski­mi zahtevami.

Varnostni koncept, ki prihrani čas in denar

S cen­tra­li­zi­ra­nim in pre­gle­dnim pri­ka­zo­va­njem, vi­zu­a­li­za­ci­jo, analizo in in­ter­pre­ta­ci­jo vseh podatkov, pomembnih za varnost, v upo­rab­ni­škem vmesniku sistem SIEM poveča učin­ko­vi­tost vaše IT-varnosti. S tem se zmanjšajo čas in stroški, ki bi sicer nastali pri običajnih ročnih var­no­stnih ukrepih. Zlasti uporaba av­to­ma­ti­zi­ra­ne in v nekaterih sistemih z umetno in­te­li­gen­co podprte analize in ko­re­la­ci­je podatkov pospeši pre­pre­če­va­nje groženj. S pre­ven­tiv­ni­mi rešitvami SIEM je mogoče pre­pre­či­ti tudi visoke stroške, povezane z od­pra­vlja­njem napak na okuženih sistemih ali od­stra­nje­va­njem zlo­na­mer­ne pro­gram­ske opreme.

Možnost uporabe sistema SIEM kot storitve SaaS (Software-as-a-Service) ali prek storitev upra­vlja­ne­ga varovanja omogoča tudi manjšim podjetjem z omejenimi viri ali brez lastne IT-varnostne službe, da za­ne­slji­vo zaščitijo svoje pod­je­tni­ško omrežje.

Av­to­ma­ti­za­ci­ja z umetno in­te­li­gen­co in strojnim učenjem

Sistemi SIEM omogočajo še višjo raven av­to­ma­ti­za­ci­je in in­te­li­gen­tne­ga pre­pre­če­va­nja groženj z uporabo umetne in­te­li­gen­ce in strojnega učenja. Rešitve SIEM lahko na primer upo­ra­blja­te tudi v sistemih SOAR (Security Or­che­stra­ti­on, Au­to­ma­ti­on and Response) ali v povezavi z obstoječo rešitvijo za varnost končnih naprav ali rešitvijo XDR.