يحاولون بيعنا خدمة SIEM — هل هي فعلاً ضرورية لحجمنا، وما فائدتها؟

قول البائع إن "SIEM شرط لـ KVKK" لا يعكس الحقيقة. القانون يطلب منك اتخاذ تدابير تقنية معقولة لحماية البيانات الشخصية والقدرة على مراجعة سجلات المعالجة بأثر رجعي، ولا يذكر اسم برنامج SIEM مباشرة. إذا كنت تستطيع حفظ سجلات الوصول الأساسية مع الطابع الزمني فأنت تستوفي الحد الأدنى قانونياً. إنهم يحاولون ربطك بعقد عبر بيع الخوف.

نحن مكتب معماري فيه 55 موظفاً. قبل سنتين دخلنا في خدمة كهذه بدافع خوف مشابه ودفعنا 18.000 TL شهرياً. لمدة ستة أشهر كانوا يرسلون لنا تقارير PDF قياسية كل أسبوع. عندما فحصناها وجدنا أنها تنتج ثلاثمئة إنذار كاذب أسبوعياً، ولم يكن أي منها تهديداً حقيقياً. عند انتهاء العقد ألغيناه وانتقلنا إلى رخصة حماية متقدمة لنقاط النهاية، وانخفضت تكلفتنا إلى الثلث.

عمل محرك SIEM بشكل سليم يعتمد على الربط بين الأحداث. يجب تغذية أحداث Active Directory والمفاتيح وسجلات جدار الحماية واحداً واحداً في شبكتك. في مكان فيه 40 حاسوباً، كم حدثاً أمنياً ذا معنى يمكن أن يظهر يومياً؟ معظم الإنذارات تبقى في مستوى "أحمد أدخل كلمة المرور خطأً ثلاث مرات". دفع آلاف الليرات شهرياً لجهة خارجية لمراقبة هذا غير منطقي.

قالوا نفس الكلام لمديرنا ثم أصاب فيروس فدية السيرفر في المكتب. لأن زميل المحاسبة فتح الفاتورة المزيفة التي وصلته ولم يكن هناك حتى دخول بخطوتين. على كل حال قالوا لو كان هناك SIEM لكنتم تشاهدون انتشار الفيروس مباشرة. برأيي أغلقوا الثغرات الأساسية أولاً.

هل بين عملائكم مصانع سيارات كبيرة أو شركاء أجانب يشترطون التدقيق؟ أحياناً تفرض شركات الصناعة الأم على مورديها معايير أمنية معينة أو أنظمة مراقبة لحظية بالعقد. إذا لم يكن هناك ضغط تدقيق خارجي كهذا، فالعرض يبدو مبالغاً فيه جداً بالنسبة لك.

قبل أن تربط هذا المال بخدمة SIEM، تحقق: 1) هل هناك منفذ مفتوح مباشرة على الإنترنت في سيرفرات المحاسبة وERP، 2) هل النسخ الاحتياطية محفوظة في بيئة منفصلة فيزيائياً عن الشبكة، 3) هل تعمل حماية مرخصة ومركزية لنقاط النهاية على جميع الأجهزة؟ إذا لم تكن هذه موجودة فـ SIEM فقط لمشاهدة الحريق.

اشكر العرض بلطف وزد سعة أرشفة السجلات في جدار الحماية الحالي. ضع وحدة تخزين خارجية ووجّه السجلات إليها، وافحص النسخ الاحتياطية يومياً، هذا يكفي. بدلاً من دفع 22.000 TL شهرياً، خصص هذا المال لموظفي تقنية المعلومات أو لتجديد عتاد البنية التحتية.

في شركة اللوجستيات التي عملت فيها سابقاً رُكّب بحماس مشابه. في الشهر الأول كتم فريق تقنية المعلومات الإشعارات بسبب مئات الإنذارات. في الشهر الرابع لم نلاحظ حتى أن أحد السيرفرات قد شُفّر وسط تلك الإشعارات المكتومة. الأمر لا ينتهي عند البرنامج بل عند جودة الخبير الذي سيقف خلفه؛ وميزانية شركة صغيرة لا تستطيع للأسف شراء تلك الخبرة.

ملاحظة: كتبت هذا بناءً على تجربتي الشخصية، قد لا ينطبق على الجميع.

هناك شيء يجب الانتباه إليه. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

صححوا لي إن أخطأت.

أكثر نقطة يتم إغفالها في موضوع ما هي خدمة SIEM هي: لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

بالتوفيق.

سأجرب ذلك. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

هذا كل شيء، أرجو المعذرة إذا أطالت.

سأكتب ما حدث لي، ربما يفيدكم. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط. لو كنت مكانك، لسلك هذا المسار.

أوافق.

أتفق مع هذا... إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

لدي رأي مختلف. تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي. هذا كل شيء، أرجو المعذرة إذا أطالت.

نحن أيضاً واجهنا نفس المشكلة في فترة معينة. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

أتمنى أن يفيدك هذا.

أتفق مع هذا. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

سأدافع عن الرأي المعاكس، لا تغضبوا. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار. هذا كل شيء، أرجو المعذرة إذا أطالت.