Güvenlik olay ve bilgi yönetimi

Neden önemli?

Bir saldırının izleri çoğu zaman farklı sistemlere dağılmıştır: güvenlik duvarında bir bağlantı, sunucuda başarısız girişler, e-postada şüpheli bir ek. SIEM bu parçaları birleştirerek tek başına anlamsız görünen olayların bir saldırı oluşturduğunu fark eder. Ayrıca denetimler için günlüklerin belirli süre saklanmasını sağlar.

Örnek

SIEM, aynı kullanıcı için önce çok sayıda başarısız giriş, ardından başarılı bir giriş ve kısa süre sonra büyük bir dosya indirmesi görür. Üç olay birleşince yüksek öncelikli uyarı oluşur ve hesap incelemeye alınır.

Sık yapılan hata

Her sistemden bütün günlükleri ayıklamadan toplamak. Maliyet hızla artar ve gerçek uyarılar gürültüde kaybolur; neyin neden toplanacağı önceden belirlenmelidir.

İlgili terimler

• SOC · Güvenlik operasyon merkezi
• EDR · Uç nokta tespit ve müdahale
• Olay müdahalesi

İlgili hizmet ve rehberler

• SOC-Lite hizmet kapsamı
• Kurumsal SOC kapsamı

Tüm terimler