SIEM для современного ландшафта угроз
Личный кабинет
+ 7 (495) 748-09-44 Заказать звонок
Главная Ресурсы SIEM для современного ландшафта угроз

SIEM для современного ландшафта угроз

26.07.2021 Статьи
SIEM для современного ландшафта угроз

Являясь комбинацией управления информацией о безопасности (SIM) и управления событиями безопасности (SEM), развитие SIEM за последние 16 лет было напрямую связано с различными факторами рынка и угрозами в каждый конкретный период времени.

В начале своего существования SIEM формировлась под влиянием новых факторов соответствия нормативным требованиям, которые доминировали в то время, например, PCI. В последние годы SIEM эволюционировала, чтобы справиться с конвергенцией платформ и ускорить обнаружение угроз против сложного вымогательского и вредоносного ПО.

В связи с тем, что удаленная работа, внедрение облачных технологий и другие инициативы по оцифровке ускорились за последний год, внимание снова приковано к SIEM, поскольку организации стремятся к более широкой сети с большей масштабируемостью и автоматизацией. На этот раз задача заключается в том, чтобы пользователи поняли, как собрать подходящее решение SIEM. 

Почему SIEM важна, как никогда раньше 

Программное обеспечение SIEM использует аналитические механизмы для сопоставления событий с политиками организации. Затем оно индексирует данные и события, чтобы обнаружить и проанализировать современные угрозы, используя собранные во всем мире разведданные.

Когда SIEM выявляет угрозу с помощью мониторинга безопасности сети, он генерирует предупреждение и определяет уровень угрозы на основе заранее установленных правил. Например, если кто-то пытается войти в учетную запись 10 раз за 10 минут, это может считаться нормальным, но попытка войти в систему 100 раз в течение 10 минут будет отмечена как попытка атаки.

Поскольку конечные точки теперь разбросаны за пределами корпоративной сети, облачные вычисления растут, а новые приложения удовлетворяют новые потребности удаленных работников, SIEM стала еще более полезным инструментом, поскольку дает командам безопасности централизованный взгляд на действия в ИТ-среде. Она обеспечивает анализ данных, корреляцию событий, агрегацию, отчетность и управление журналами. 

Усталость от оповещений реальна

Несмотря на все преимущества, не все SIEM-решения просты в развертывании, обслуживании и управлении. Автоматизация необходима для внедрения SIEM и поддержания их эффективности.

Согласно исследованию 2020 State of SecOps and Automation, 92 процента организаций согласны с тем, что автоматизация необходима для решения проблемы растущего числа оповещений, а также большого количества ложных срабатываний.

Тем не менее, 65 процентов организаций используют лишь частично автоматизированную обработку оповещений, а 75 процентам потребуется не менее трех дополнительных аналитиков по безопасности, чтобы обработать все оповещения в один день.Это создает много лишнего шума для оперативной группы безопасности.

Именно поэтому ваша организация должна обратить внимание на функции и интеграции SIEM-решения. Чтобы избежать усталости от оповещений, убедитесь, что аналитика, анализ угроз и профилирование поведения являются частью вашего SIEM-комплекса. Это позволит повысить процент успешного обнаружения нарушений и атак.

Сочетание продуктов

Современные угрозы безопасности вызывают потребность в многоуровневой аналитике с платформами безопасности. ИИ, машинное обучение и расширенный анализ позволяют автоматизировать обнаружение аномального поведения и еще больше уменьшить время реакции, пресекая любые потенциальные атаки на организацию в режиме реального времени, проактивно и реактивно. 

Помимо использования ИИ и машинного обучения для улучшения корреляции и оповещений, большинство SIEM-систем также имеют элемент обнаружения угроз, который отслеживает электронную почту, облачные ресурсы, приложения, внешние источники информации об угрозах и конечные точки. Сюда можно отнести аналитику поведения пользователей (UEBA), которая отслеживает аномальное поведение, указывающее на угрозу. Оно также может обнаруживать латеральное перемещение и скомпрометированные учетные записи.

Любое эффективное SIEM-решение всегда требует от организаций управления растущим числом источников данных. Из-за постоянного дефицита специалистов по кибербезопасности важно выбрать решение с поддержкой поставщика в виде постоянных обновлений. 

Наряду с UEBA, расширенное обнаружение и реагирование (XDR) или оркестровка безопасности, автоматизация и реагирование (SOAR) могут помочь обеспечить необходимую видимость и гибкость системы SIEM. SOAR включает в себя три программные возможности - управление угрозами и уязвимостями, реагирование на инциденты безопасности и автоматизацию операций безопасности.