لماذا تستخدم المنظمات SIEM؟
تأتي بيانات أمان المؤسسة من عدة أماكن في وقت واحد: نقاط النهاية والخوادم وأنظمة الهوية والأنظمة الأساسية السحابية والتطبيقات وأنظمة البريد الإلكتروني وأجهزة الشبكة. يقدم كل مصدر عرضًا جزئيًا. يوجد SIEM لتحويل هذه السجلات المبعثرة إلى صورة أكثر تماسكًا يمكن للمحللين البحث عنها والمقارنة بينها واستخدامها.
لا تفتقر معظم الشركات إلى بيانات الأمان - فهي تفتقر إلى الوضوح. قد تقوم إحدى الأدوات بوضع علامة على تسجيل دخول مريب ، وقد تقوم أداة أخرى بتسجيل تغيير في الامتياز ، وقد تعرض أداة ثالثة حركة مرور صادرة غير عادية. وإذا تم فحصها بشكل منفصل ، فقد لا تبدو هذه الإشارات عاجلة. إذا تم فحصها معًا ، فقد تشير إلى اقتحام حقيقي.
هذا هو السبب الأساسي الذي يجعل SIEM لا يزال مهمًا. إنه يمنح فرق الأمان مكانًا مركزيًا لجمع وتنظيم وتحليل النشاط المتعلق بالأمان في جميع أنحاء العقار. فهو يساعد SOC على الانتقال من التنبيهات المعزولة إلى فهم أوسع لما حدث وأين حدث وما قد يكون مهمًا بعد ذلك.
كيف تعمل إدارة معلومات الأمان والأحداث (SIEM)؟
على المستوى العملي ، تعمل SIEM في أربع مراحل واسعة:
- تجمع البيانات من أنظمة متعددة
تستوعب SIEM القياس عن بُعد من أدوات نقطة النهاية وأنظمة التشغيل والدلائل والخدمات السحابية وجدران الحماية وسجلات DNS وبوابات البريد الإلكتروني وتطبيقات الأعمال. وتعتمد قيمته بشكل كبير على جودة وملاءمة البيانات التي يمكنه رؤيتها. - تطبيع تلك البيانات
تنتج التقنيات المختلفة أسماء مجالات مختلفة وهياكل الأحداث ومدى الخطورة والطوابع الزمنية. تقوم SIEM بتحويلها إلى تنسيق أكثر اتساقًا بحيث يمكن البحث عن الأحداث ومقارنتها عبر الأنظمة. - يربط النشاط ذات الصلة
هذه واحدة من أهم وظائفها. يمكن SIEM ربط الأحداث عبر الوقت والمستخدمين والمضيفين والأنظمة لتسليط الضوء على الأنماط التي من السهل تفويتها بمعزل عن غيرها. وبدلاً من التعامل مع كل تنبيه على أنه مشكلة منفصلة ، فإنه يساعد المحللين على معرفة ما إذا كانت الإشارات المتعددة جزءًا من نفس الحادثة. - يدعم الاكتشاف والتحقيق
ويمكن للمحللين مراجعة التنبيهات والبحث في البيانات التاريخية وفحص المخططات الزمنية والتمحور عبر الأصول ذات الصلة أو المستخدمين وتقييم المدى المحتمل لانتشار النشاط المشكوك فيه. في العديد من المنظمات ، تلعب SIEM أيضًا دورًا في الإبلاغ ، والبحث عن التهديدات ، وتحليل ما بعد الحادث.
ما الذي يجعل SIEM ذات قيمة في بيئات المؤسسة؟
يصبح SIEM مفيدًا بشكل خاص على مستوى المؤسسة ، حيث تتعامل فرق الأمان مع مزيج من الأنظمة المحلية والخدمات السحابية والمستخدمين عن بُعد وأدوات الجهات الخارجية والتعقيد الإقليمي.
في هذه البيئات ، نادرًا ما يبقى المهاجمون داخل طبقة واحدة من المكدس. قد يؤدي الحساب المخترق إلى سلوك نقطة نهاية مريب ، ووصول SaaS غير عادي ، وتغييرات في الأذونات السحابية والاتصالات الصادرة التي لا تكون منطقية إلا عند رؤيتها معًا.
هذا هو السبب في أن SIEM غالبًا ما لا يتعلق بأي تنبيه واحد وأكثر عن السياق. يساعد المحللين على فهم العلاقات بين الأحداث والأنظمة والمستخدمين. كما يدعم التحقيق التاريخي ، الذي يكون مهمًا عندما تحتاج المنظمة إلى تتبع مدة نشاط التطفل ، وما الذي قد يتأثر أيضًا ، أو ما إذا كان السلوك المماثل قد ظهر في مكان آخر من الحوزة.
ما هو SIEM ليس ؟
SIEM ليس مجرد أرشيف للسجلات ، على الرغم من أنه يعتمد على جمع السجل القوي والاحتفاظ به. كما أنها ليست نفس الاستجابة التلقائية. تتضمن بعض الأنظمة الأساسية ميزات أتمتة أو تتكامل مع أدوات الاستجابة ، ولكن الغرض الأساسي من SIEM هو الرؤية والتحليل والتحقيق.
هذا التمييز مهم لأن المنظمات تتوقع أحيانًا من SIEM حل كل مشكلة SOC بمفردها. ومن الناحية العملية ، تعتمد قيمتها على جودة البيانات ومدى ملاءمة الاكتشاف والطريقة التي يستخدمها بها فريق الأمان بالفعل.
ما هي التحديات التي تأتي مع SIEM؟
لا يكمن التحدي الأكبر في العادة في جمع البيانات - بل في جعل هذه البيانات مفيدة. إذا كان القياس عن بُعد غير كامل أو غير متسق أو طبيعي بشكل سيئ ، فسوف تكافح SIEM لإنتاج اكتشافات موثوقة أو تحقيقات مفيدة. إذا كانت حالات الاستخدام ضعيفة ، فقد يقوم النظام الأساسي بإنشاء كميات كبيرة من التنبيهات دون تحسين الوضوح.
هناك أيضا تحد تشغيلي. SIEM ليس عملية نشر لمرة واحدة. يتطلب ضبطًا وصيانة المحلل اللغوي وتحسين البحث وتطوير المحتوى والمراجعة المنتظمة للبيانات التي تستحق الاستيعاب بالفعل. وبعبارة أخرى ، فإن شراء SIEM ليس سوى البداية. تأتي القيمة من مدى جودة تشغيلها.
لماذا لا يزال SIEM مهمًا؟
لا تحدث معظم الهجمات الإلكترونية على المؤسسات في مكان واحد. وهي تتحرك عبر الهويات ونقاط النهاية والخدمات السحابية وعناصر تحكم الشبكة والتطبيقات. لذلك يحتاج المدافعون إلى طريقة لجمع الأدلة من مصادر متعددة والتحقيق في الأحداث في سياقها.
حتى مع تطور EDR و XDR والأتمتة والخدمات المدارة ، لا يزال SIEM يلعب دورًا مهمًا في الرؤية المركزية وعمق البحث وإمكانية البحث على المدى الطويل عبر البيئات المعقدة.
الوجبات الجاهزة الرئيسية
SIEM هو العمود الفقري التحليلي للعمليات الأمنية. فهو يساعد الفرق على جمع البيانات الصحيحة وجعلها قابلة للاستخدام وربط الأنشطة ذات الصلة والتحقيق في الحوادث بشكل أكثر فعالية.
يكون SIEM أكثر فاعلية عندما يمنح فرق الأمان الوضوح والسياق للتحقيق في التهديدات بسرعة عبر البيئات المعقدة.
اكتشف كيف يمكن أن يساعد حل Kaspersky's SIEM فريقك على مركزية بيانات الأمان واكتشاف النشاط المشكوك فيه وتسريع التحقيق عبر مؤسستك.
دعمنا وقراءة أخرى:
