SIEM là gì?

Vấn đề không phải tiếng ồn, mà là việc sàng lọc

Máy chủ, tường lửa, ứng dụng SaaS và máy trạm của bạn liên tục ghi lại những gì chúng làm. Xét riêng lẻ, các nhật ký này không nói lên điều gì. Cộng lại, chúng là hàng triệu dòng mỗi ngày.

SIEM không chỉ lưu trữ chúng. Nó đưa nhật ký về một định dạng chung, đối chiếu chúng với nhau, rồi áp dụng quy tắc tương quan và mô hình hành vi để tách ra những gì bất thường.

Kết quả vì thế không phải khối lượng lớn hơn mà nhỏ hơn: một vài sự cố được ghi nhận và xếp thứ tự ưu tiên. Microsoft Sentinel đi xa hơn khi tích hợp sẵn tự động hóa phản hồi.

Từ tiếng ồn đến tín hiệu, từng tầng một

SIEM là một chuỗi xử lý. Qua mỗi tầng, khối lượng giảm đi và giá trị tăng lên. Chính sự thu hẹp đó khiến công việc bảo mật hằng ngày trở nên khả thi.

Ba tín hiệu yếu, một sự cố

Xét riêng lẻ, không sự kiện nào đáng để cảnh báo. Chính sự kết hợp mới có ý nghĩa, và kết hợp chúng đúng là nhiệm vụ của SIEM.

• • Đăng nhập thành công từ Paris lúc 22:40
  • Đăng nhập thành công từ Hà Nội lúc 03:12
  • Nhân viên không khai báo chuyến đi nào

  Kết luận của SIEM

  Di chuyển bất khả thi

  Hai lần xác thực hoàn toàn hợp lệ, cách nhau một quãng đường không ai đi được trong khoảng thời gian đó. Tài khoản gần như chắc chắn đã bị chiếm.

• • Một tài khoản dịch vụ mở thư mục nhân sự
  • Suốt mười tám tháng chưa từng truy cập
  • Đọc 4.200 tệp trong sáu phút

  Kết luận của SIEM

  Nhiều khả năng rò rỉ dữ liệu

  Từng thao tác đều được phép. Chính sự khác thường so với hành vi quen thuộc và tốc độ đọc mới để lộ việc sao chép hàng loạt.

• • Đăng nhập thất bại trên bốn mươi tài khoản
  • Mỗi tài khoản chỉ thử một mật khẩu
  • Từ dải địa chỉ chưa từng thấy

  Kết luận của SIEM

  Rải mật khẩu (password spraying)

  Không tài khoản nào chạm ngưỡng khóa. Nhìn từng tài khoản thì cuộc tấn công vô hình; nhìn trên toàn tenant thì rất rõ ràng.

Bốn năng lực của một SIEM

Chúng hoạt động cùng nhau và không năng lực nào là đủ một mình: một SIEM thấy hết nhưng không phân loại chỉ tạo ra tiếng ồn, không tạo ra an ninh.

SIEM không phải là kho chứa nhật ký

Khác biệt không nằm ở việc lưu trữ mà ở những gì xảy ra với dữ liệu sau khi đã được lưu.