ما المشكلة التي تحاول حلها؟
تبدأ مشاريع SIEM المختلفة لأسباب مختلفة. قد تحتاج منظمة واحدة إلى رؤية مركزية ؛ قد يحتاج البعض الآخر إلى تحقيقات أقوى. قد يحاول المرء تحسين تغطية الاكتشاف عبر بيئة مجزأة ؛ وقد يكون الدافع الآخر هو متطلبات إعداد التقارير أو الاحتفاظ بها أو المراجعة.
إذا كانت نقطة البداية غامضة ، فعادة ما يكون التقييم غامضًا أيضًا. يجب اختيار SIEM مقابل حاجة تشغيلية محددة بوضوح ، وليس ضد فكرة عامة عن الشكل الذي من المفترض أن تبدو عليه أداة SOC .
هل يمكنها استيعاب البيانات الصحيحة؟
إن SIEM مفيد فقط مثل القياس عن بعد الذي يمكنه جمعه وجعله قابلاً للاستخدام. وهذا يعني النظر إلى الأنظمة الأكثر أهمية لبيئتك: نقاط النهاية ومصادر الهوية والخدمات السحابية والبريد الإلكتروني والتطبيقات والبنية التحتية للشبكة ونقاط التحكم المهمة الأخرى.
الاتساع مهم ، لكن الملاءمة هي الأكثر أهمية. لا يتمثل الهدف في استيعاب كل شيء بشكل عشوائي - بل التأكد من قدرة النظام الأساسي على التعامل مع المصادر التي يحتاجها فريق الأمان لديك بالفعل للاكتشاف والتحقيق.
هل تستطيع التطبيع والارتباط بشكل فعال؟
التجميع المركزي لا يكفي في حد ذاته. يجب على SIEM جعل البيانات متسقة بما يكفي للبحث والمقارنة والربط عبر الأدوات والتقنيات المختلفة.
هذا هو المكان الذي تبدو فيه بعض المنصات قوية في العروض التوضيحية ولكن من الصعب استخدامها في الممارسة العملية. إذا كان التطبيع ضعيفًا ، أو كانت تعيينات الحقول غير متسقة ، أو يصعب الحفاظ على منطق المصدر المتقاطع ، فقد تصبح SIEM طبقة تخزين كبيرة ذات قيمة تحليلية محدودة.
هل يدعم التحقيقات الحقيقية؟
يجب أن تساعد مؤسسة SIEM القوية المحللين على التحقيق بكفاءة ، وليس فقط عرض التنبيهات على لوحة المعلومات.
وهذا يعني أن الفرق يجب أن تكون قادرة على البحث في البيانات التاريخية والحالية ، والتمحور عبر المستخدمين والأنظمة ، واتباع المخططات الزمنية ، ومراجعة الأحداث ذات الصلة ، وفهم نطاق الحادث دون الاعتماد على الحلول اليدوية.
هل يستطيع فريقك بناء وضبط الاكتشافات عليه؟
تعتمد قيمة Enterprise SIEM بشكل كبير على جودة الاكتشافات التي تعمل داخلها. يجب أن تدعم المنصة المفيدة تطوير القواعد ذات المغزى ، ومنطق الارتباط المرن والضبط المستمر بناءً على ملف تعريف مخاطر المنظمة وأنماط الهجوم في العالم الحقيقي.
قد يساعد المحتوى الجاهز في بدء الفرق ، لكنه نادرًا ما يكون كافياً بمفرده. الاختبار الأفضل هو ما إذا كانت المنصة تساعد فريقك على تكييف الاكتشافات مع بيئتك الخاصة والحفاظ عليها بمرور الوقت.
ما هي تكلفة التشغيل؟
تتجاوز التكلفة الحقيقية لـ SIEM الترخيص. وهي تتضمن الاستيعاب والتخزين والاحتفاظ وصيانة المحتوى وصيانة المحلل اللغوي وضبط الأداء والأشخاص اللازمين لإدارته.
هذا هو السبب في أنه ينبغي تقييم التكلفة باعتبارها سؤالاً عن نموذج التشغيل ، وليس مجرد مسألة شراء. قد تبدو المنصة جذابة في مرحلة الشراء ومع ذلك تظل باهظة الثمن إذا تطلبت الكثير من الجهد المتخصص أو كان حجمها ضعيفًا مع نمو البيانات.
ما مدى ملاءمتها لبيئة مختلطة؟
لا تعمل معظم الشركات في نظام بيئي لبائع واحد. لقد ورثوا الأدوات والخدمات السحابية والاختلافات الإقليمية والأنظمة القديمة والضوابط المتداخلة. يحتاج SIEM إلى العمل في هذا الواقع.
إمكانية التشغيل البيني مهمة. يجب أن تكون المنصة قادرة على جمع البيانات من مصادر متنوعة ومساعدة الفريق على التحقيق عبر بيئة غير متجانسة ، وليس فقط عبر مجموعة ضيقة من عمليات التكامل الأصلية.
ماذا يجب أن يكون في القائمة المختصرة؟
يجب أن تجيب القائمة المختصرة القوية على هذه الأسئلة بوضوح:
- هل يمكن للمنصة استيعاب المصادر الأكثر أهمية لبيئتنا؟
- هل يمكنه تطبيع البيانات وربطها جيدًا بما يكفي لدعم التحقيقات الحقيقية؟
- هل يستطيع فريقنا إنشاء عمليات اكتشاف مفيدة وضبطها وصيانتها بمرور الوقت؟
- هل يمكنه دعم تدفقات العمل التي يستخدمها مركز عمليات SOC لدينا بالفعل ، أو التي يريد تحسينها؟
- هل يمكننا تحمل تكلفة النموذج التشغيلي ، وليس الشراء الأولي فقط؟
- هل ستعمل عبر مزيج من الأدوات والبيئات التي لدينا بالفعل؟
تعد هذه الأسئلة أكثر فائدة من مقارنات عدد الميزات لأنها تربط تقييم المنتج بالنتائج التشغيلية الحقيقية.
من أين تفهم المنظمات هذا الخطأ؟
تتكرر ثلاثة أخطاء:
- شراء لوحات المعلومات أو المطالبات أو قوائم مراجعة الميزات بدلاً من التحقيقات وسير العمل
- التقليل من الجهد التشغيلي المطلوب لإدارة القياس عن بُعد والضبط والبحث عن الأداء
- تجاهل الاستدامة طويلة الأجل واختيار نظام أساسي لا يمكن للفريق تشغيله بشكل واقعي بشكل جيد.
الوجبات الجاهزة الرئيسية
اختر SIEM للمؤسسة بناءً على التوافق التشغيلي. الخيار الأفضل هو الذي يمكنه استيعاب البيانات الصحيحة وتطبيعها جيدًا ودعم التحقيقات الحقيقية وتمكين الاكتشافات ذات المغزى والحفاظ على استمرارية عمل فريقك بمرور الوقت.
هل أنت مستعد لتقييم SIEM مقابل احتياجات SOC الخاصة بمؤسستك؟
اكتشف كيف يمكن أن يساعد حل SIEM من Kaspersky فريقك على مركزية بيانات الأمان وربط النشاط عبر بيئات متنوعة والتحقيق في التهديدات بشكل أكثر فعالية.
المصادر الداعمة وقراءات إضافية:
