01 / المسرد
إدارة المعلومات والأحداث الأمنية
SIEM · نظام يجمع السجلات من أنظمة مختلفة في مكان واحد، ويربط بينها للكشف عن الأحداث المشبوهة، ويصدر تنبيهات.
- 01
لماذا هو مهم؟
كثيرًا ما تكون آثار الهجوم موزعة على أنظمة متعددة: اتصال على جدار الحماية، ومحاولات دخول فاشلة على خادم، ومرفق مشبوه في البريد الإلكتروني. يجمع SIEM هذه القطع ويلاحظ أن الأحداث التي تبدو بلا معنى بمفردها تشكّل معًا هجومًا. كما يحتفظ بالسجلات لمدة محددة لإجراء التدقيق.
- 02
مثال
يرى SIEM محاولات دخول فاشلة كثيرة للمستخدم نفسه، ثم نجاحًا في الدخول، وبعد قليل تنزيل ملف كبير. مجتمعة، ترفع الأحداث الثلاثة تنبيهًا ذا أولوية عالية ويُوضع الحساب قيد المراجعة.
- 03
خطأ شائع
جمع كل سجل من كل نظام دون تصفية. ترتفع التكاليف بسرعة وتضيع التنبيهات الحقيقية وسط الضجيج؛ حدد مسبقًا ما يُجمع ولماذا.
- 04