Wat is SIEM (security information and event management)?

Een systeem dat logs van firewalls, servers, EDR, clouddiensten, authenticatie-infrastructuur en meer op één plek verzamelt, hun formaten en tijdstempels gelijktrekt, vermoedelijke aanvallen detecteert met regels die meerdere gebeurtenissen combineren (correlatieanalyse), en die als alerts toont. Het wordt ook gebruikt om bij onderzoeken logs te doorzoeken en om logs zo lang te bewaren als regelgeving vereist. Het is een van de centrale hulpmiddelen die analisten in een security operations center (SOC) voor monitoring gebruiken.

Japanse benaming: SIEM(セキュリティ情報イベント管理)

“SIEM (security information and event management)” komt voor in 2 oefenvragen uit 1 onderwerpen, bijv. Cyberaanvallen en verdediging in de praktijk.

Vakgebied: Cyberaanvallen en verdediging in de praktijk

Een voorbeeld van correlatie

Gebeurtenissen die op basis van één log niet te beoordelen zijn, worden in combinatie verdachter. Een reeks als „veel mislukte aanmeldingen voor één account in korte tijd, direct gevolgd door een geslaagde aanmelding vanuit een ongebruikelijk land en daarna het downloaden van een groot aantal bestanden” wordt bijvoorbeeld tot één alert samengevoegd.

Logbeheer als voorwaarde

De kwaliteit van detectie en onderzoek hangt af van de kwaliteit van de verzamelde logs. Voorwaarden zijn de nodige logs zonder hiaten verzamelen, de klokken van alle apparaten met NTP synchroniseren en de logs tegen manipulatie beschermd bewaren gedurende een vastgestelde periode (zoals de periode die regelgeving of contracten eisen). Omdat de kosten met het logvolume stijgen, wordt naar het doel bepaald wat wordt verzameld.

Alerts afstellen

Te ruime regels leveren massa's vals-positieven op en zorgen ervoor dat analisten echte aanvallen missen (alertmoeheid). Door de regels op de omgeving af te stellen en routinecontroles met SOAR te automatiseren, kunnen analisten zich op de belangrijke alerts concentreren.

Nu oefenen: vragen over SIEM (security information and event management)

Welke combinatie van SIEM, SOAR en SOC met hun rol bij beveiligingsmonitoring is juist?

ASIEM is software die het gedrag op eindpunten registreert, SOAR is een apparaat dat verkeer versleutelt, en SOC is een identificatienummer dat aan kwetsbaarheden wordt gegeven
BSIEM voert automatisch reactieprocedures uit, SOAR verzamelt en analyseert de logs van elk apparaat, en SOC is het ontwikkelteam dat kwetsbaarheden in producten afhandelt
CSIEM verzamelt de logs van veel apparaten en correleert ze, SOAR voert automatisch reactieprocedures (playbooks) uit, en SOC is het team dat ze gebruikt voor monitoring

Antwoord en toelichting tonen

Antwoord: C. SIEM verzamelt de logs van veel apparaten en correleert ze, SOAR voert automatisch reactieprocedures (playbooks) uit, en SOC is het team dat ze gebruikt voor monitoring

SIEM (security information and event management) verzamelt logs van firewalls, servers, EDR, clouddiensten enzovoort op één plek, brengt hun tijdstempels op één lijn en toont vermoedelijke aanvallen als alerts met regels die meerdere gebeurtenissen combineren (correlatieanalyse). SOAR (security orchestration, automation and response) voert als reactie op alerts automatisch vaste procedures uit als playbooks, zoals informatie verzamelen, apparaten isoleren en accounts uitschakelen, en verlicht zo het werk van analisten. Het SOC (security operations center) is het team dat deze middelen gebruikt om te monitoren, alerts te analyseren en te bepalen en te melden of iets een incident is, en het werkt vaak 24 uur per dag. De reactie op de incidenten die het SOC vaststelt, wordt meestal geleid door het CSIRT.

Bij een SOC geeft het SIEM 1440 alerts per dag, gelijkmatig verdeeld over de dag. De geautomatiseerde verwerking van SOAR handelt 75% van de alerts af zonder controle door een analist, en elke overige alert vraagt gemiddeld 10 minuten werk van een analist. Wat is, als analisten zonder pauzes kunnen werken, het minimale aantal analisten dat voortdurend dienst moet hebben om het tempo bij te houden waarin de alerts binnenkomen?

A2 analisten
B3 analisten
C10 analisten

Antwoord en toelichting tonen

Antwoord: B. 3 analisten

De alerts die analisten controleren, zijn 1440 × (1 − 0,75) = 360 per dag, dus 360 ÷ 24 = 15 per uur. Eén analist kan 60 ÷ 10 = 6 alerts per uur afhandelen, dus het benodigde aantal is 15 ÷ 6 = 2,5, naar boven afgerond 3. Zonder de geautomatiseerde verwerking van SOAR zouden er 60 alerts per uur zijn en zouden 60 ÷ 6 = 10 analisten nodig zijn. In de praktijk zijn er pauzes en andere taken en varieert het aantal alerts met het tijdstip van de dag, dus de bezetting wordt bepaald met marge in de bezettingsgraad.

Veelgestelde vragen

Wat is het verschil tussen SIEM en SOAR?

SIEM verzamelt en analyseert logs om vermoedelijke aanvallen te vinden. SOAR voert als reactie op de gevonden alerts automatisch vaste procedures (playbooks) uit, zoals informatie verzamelen of een apparaat isoleren. Sommige producten bieden beide functies samen.

Houdt een SIEM aanvallen automatisch tegen?

Een SIEM zelf dient vooral voor detectie en onderzoek en blokkeert geen verkeer. Een aanval stoppen is de rol van geautomatiseerde reacties door SOAR, van apparaten zoals EDR en firewalls, en van de mensen die beslissingen nemen.

“SIEM (security information and event management)” in de toelichting

SIEM (security information and event management) verzamelt logs van firewalls, servers, EDR, clouddiensten enzovoort op één plek, brengt hun tijdstempels op één lijn en toont vermoedelijke aanvallen als alerts met regels die meerdere gebeurtenissen combineren (correlatieanalyse).
Welke combinatie van SIEM, SOAR en SOC met hun rol bij beve…

Vragen met “SIEM (security information and event management)” (2)

Verwante termen

EDR (endpoint detection and response) Security operations center Aanval op de toeleveringsketen (supply-chainaanval) Cyber Kill Chain Digitaal forensisch onderzoek Inbraakdetectiesysteem (IDS) Incidentrespons Indicator of compromise (IoC) Laterale beweging (lateral movement) MITRE ATT&CK

Naar de woordenlijst