اطلاعات امنیتی یک سازمان معمولاً میان سرورها، تجهیزات شبکه، حساب‌های کاربری، نرم‌افزارها و سرویس‌های ابری پراکنده است. بررسی جداگانه این داده‌ها می‌تواند ارتباط میان نشانه‌های مختلف یک حمله را دشوار کند. SIEM راهکاری برای گردآوری و تحلیل متمرکز این رویدادهاست که به تیم فناوری اطلاعات و امنیت کمک می‌کند دید جامع‌تری از وضعیت امنیتی داشته باشد.
برای شناخت بستر اجرای این راهکار، مطالعه مبانی شبکه‌های کامپیوتری و طراحی زیرساخت یکپارچه IT نیز مفید است.
SIEM چیست؟
SIEM مخفف Security Information and Event Management و به معنی «مدیریت اطلاعات و رویدادهای امنیتی» است. این سامانه رویدادها و لاگ‌های منابع گوناگون را دریافت می‌کند، داده‌ها را برای تحلیل آماده می‌سازد و با قواعد تشخیص و هم‌بستگی رویدادها نشانه‌های فعالیت مشکوک را شناسایی می‌کند.
SIEM فقط محل ذخیره لاگ نیست؛ ارزش اصلی آن در مرتبط کردن رویدادهایی است که جداگانه شاید عادی به نظر برسند، اما کنار هم می‌توانند نشانه یک رخداد امنیتی باشند.
سامانه SIEM چگونه کار می‌کند؟
- جمع‌آوری داده: دریافت رویداد از سرورها، فایروال‌ها، تجهیزات شبکه، سرویس‌های هویت و ابزارهای امنیتی.
- نرمال‌سازی: تبدیل قالب‌های متفاوت به ساختاری قابل مقایسه و جست‌وجو.
- هم‌بستگی: مرتبط کردن رویدادها بر اساس کاربر، دستگاه، زمان یا نشانه‌های مشترک.
- تحلیل و تشخیص: بررسی قواعد امنیتی و الگوهای مشکوک با توجه به داده‌های دریافت‌شده.
- هشدار و تحقیق: نمایش رخدادهای نیازمند بررسی و فراهم کردن شواهد برای تحلیل‌گر.
- پاسخ و گزارش‌دهی: ثبت نتایج بررسی یا اتصال به فرایند پاسخ‌گویی، در صورت پشتیبانی و پیکربندی مناسب.
کیفیت تشخیص به کامل بودن منابع، سلامت لاگ‌ها، هم‌زمانی ساعت سامانه‌ها و تنظیم درست قواعد وابسته است.
اجزای اصلی SIEM
- اتصال‌دهنده‌ها: دریافت داده از تجهیزات و نرم‌افزارهای مختلف.
- موتور پردازش: تجزیه، نرمال‌سازی و غنی‌سازی رویدادها.
- مخزن داده و جست‌وجو: نگهداری و بررسی رویدادها در محدوده ظرفیت و سیاست نگهداری.
- قواعد تشخیص: شناسایی الگوها و پیوند دادن هشدارهای مرتبط.
- داشبورد و مدیریت رخداد: نمایش هشدارها، شواهد و وضعیت رسیدگی.
- یکپارچه‌سازی پاسخ: اتصال به ابزارها و گردش‌کارهای عملیاتی در محصولات پشتیبانی‌شده.
SIEM چه منابعی را پایش می‌کند؟
- فایروال‌ها، درگاه‌های امنیتی و تجهیزات شبکه؛
- سرورهای ویندوز و لینوکس و سامانه‌های مدیریت هویت؛
- آنتی‌ویروس‌ها و ابزارهای امنیت نقطه پایانی؛
- سامانه‌های ایمیل، پایگاه داده و نرم‌افزارهای سازمانی؛
- ورود کاربران، تغییر مجوزها و فعالیت حساب‌های مدیریتی؛
- سرویس‌های ابری و دیگر منابع مهم متناسب با ریسک سازمان.
برای مثال، بررسی رویدادهای فایروال شبکه در کنار هشدارهای آنتی‌ویروس تحت شبکه ممکن است به کشف ارتباط میان چند فعالیت مشکوک کمک کند. مانیتورینگ شبکه نیز با تمرکز بر عملکرد و دسترس‌پذیری، دید عملیاتی مکملی فراهم می‌کند.
کاربردهای اصلی SIEM در سازمان
- شناسایی تلاش‌های مکرر و غیرعادی برای ورود به حساب‌ها؛
- بررسی تغییرات غیرمنتظره در دسترسی‌ها و حساب‌های دارای امتیاز بالا؛
- مرتبط کردن هشدارهای چند سامانه برای تحقیق درباره یک حادثه؛
- جست‌وجوی رویدادهای گذشته و تشکیل خط زمانی رخداد؛
- تهیه گزارش و شواهد متناسب با سیاست‌های ممیزی و نگهداری داده؛
- کمک به شناسایی فعالیت غیرعادی در دارایی‌های حساس.
برای نمونه، چند تلاش ناموفق ورود، سپس ورود از شرایط غیرمعمول و دسترسی بعدی به یک سرور حساس می‌توانند در کنار هم بررسی شوند. هیچ هشدار منفردی به‌تنهایی وقوع حمله را ثابت نمی‌کند و نبود هشدار هم به معنی نبود قطعی تهدید نیست.
تفاوت SIEM با مانیتورینگ، EDR و SOAR
| راهکار | تمرکز اصلی | کاربرد |
|---|---|---|
| SIEM | جمع‌آوری و هم‌بستگی رویدادهای امنیتی | تشخیص و بررسی رخداد در چند منبع |
| مانیتورینگ شبکه | عملکرد، ظرفیت و دسترس‌پذیری | کشف اختلال‌های عملیاتی |
| EDR | رفتار و رویدادهای دستگاه‌های پایانی | بررسی و در محصولات پشتیبانی‌شده، مهار تهدید روی دستگاه |
| SOAR | هماهنگ‌سازی و خودکارسازی فرایندها | اجرای گردش‌کار رسیدگی و واکنش |
این ابزارها نقش‌های متفاوت و مکمل دارند. برای مثال، SIEM می‌تواند هشدارهای چند منبع را مرتبط کند و EDR شواهد دقیق‌تری از دستگاه مشکوک ارائه دهد.
مزایا و محدودیت‌های SIEM
از مزایای SIEM می‌توان به دید یکپارچه‌تر، کشف ارتباط رویدادها، اولویت‌بندی هشدارها و آسان‌تر شدن بررسی پس از حادثه اشاره کرد. با این حال، این سامانه به‌تنهایی امنیت را تضمین نمی‌کند.
- حجم بالای هشدار: قواعد نامناسب می‌توانند تحلیل‌گران را درگیر هشدارهای کم‌اهمیت کنند.
- هزینه نگهداری: حجم داده، مدت نگهداری، زیرساخت و نوع مجوز روی هزینه اثر می‌گذارند.
- نقص پوشش: داده‌ای که ثبت یا ارسال نمی‌شود، قابل تحلیل نیست.
- نیاز به تخصص: قواعد باید تنظیم، آزموده و متناسب با تغییرات سازمان بازبینی شوند.
- نیاز به فرایند پاسخ: هشدار بدون مسئول مشخص و مسیر رسیدگی ممکن است به اقدام مؤثر منجر نشود.
مراحل پیاده‌سازی SIEM
- اهداف امنیتی، دارایی‌های حیاتی و ریسک‌های اولویت‌دار را مشخص کنید.
- منابع لاگ، مسئول نگهداری هر منبع و داده موردنیاز را فهرست کنید.
- معماری، ظرفیت، هزینه، کنترل دسترسی و سیاست نگهداری را بررسی کنید.
- اتصال را از منابع حیاتی شروع و صحت دریافت رویدادها را آزمایش کنید.
- برای تهدیدهای اولویت‌دار قواعد تشخیص قابل آزمون بسازید.
- هشدارها را تنظیم و نویز غیرضروری را با کنترل ریسک کاهش دهید.
- مسئول بررسی، مسیر ارجاع و دستورالعمل واکنش را تعیین کنید.
- با آزمون‌های کنترل‌شده پوشش داده و کیفیت تشخیص را بهبود دهید.
هنگام شناسایی منابع، بررسی پراکسی در شبکه، سوئیچ و روتر و تجهیزات شبکه می‌تواند برای شناخت مسیرهای ارتباطی و دستگاه‌های موجود مفید باشد.
معیارهای انتخاب راهکار SIEM
- سازگاری با منابع داده و تجهیزات موجود؛
- کیفیت جست‌وجو، تحلیل، قواعد تشخیص و بررسی شواهد؛
- هزینه کل دریافت و نگهداری داده و پشتیبانی؛
- مقیاس‌پذیری و امکان کنترل دسترسی و ثبت فعالیت مدیران؛
- یکپارچه‌سازی با ابزارهای امنیتی و فرایندهای رسیدگی؛
- وجود نیروی متخصص و توان رسیدگی به حجم هشدارها.
برای آشنایی با نمونه‌ای از این دسته راهکارها، مستندات رسمی Microsoft Sentinel را ببینید. انتخاب محصول باید با نیاز و شرایط واقعی سازمان تطبیق داده شود.
چگونه اثربخشی SIEM را بسنجیم؟
تعداد هشدارها به‌تنهایی معیار موفقیت نیست. پوشش منابع حیاتی، زمان شناسایی و رسیدگی، نسبت هشدارهای مفید، موفقیت آزمون سناریوهای تشخیص و کامل بودن سوابق نگهداری‌شده شاخص‌های مناسب‌تری هستند؛ به شرط آنکه تعریف مشخص و داده قابل اعتماد داشته باشند.
پرسش‌های متداول درباره SIEM
آیا SIEM خودش همه حملات را مسدود می‌کند؟
خیر. نقش اصلی آن تحلیل رویدادها و پشتیبانی از تشخیص و بررسی است. مسدودسازی خودکار به قابلیت محصول، اتصال ابزارها و تنظیمات مجاز بستگی دارد.
تفاوت SIEM با ثبت لاگ چیست؟
ثبت لاگ رویدادها را ذخیره می‌کند؛ SIEM داده‌های منابع گوناگون را نیز هم‌بسته و تحلیل می‌کند تا شناسایی الگوهای مشکوک و بررسی حوادث آسان‌تر شود.
آیا همه سازمان‌ها به SIEM نیاز دارند؟
این تصمیم به اندازه سازمان، حساسیت دارایی‌ها، ریسک‌ها، الزامات و توان پاسخ‌گویی به هشدارها بستگی دارد.
جمع‌بندی
SIEM با گردآوری و تحلیل رویدادهای چند منبع، به شناسایی نشانه‌های مشکوک و بررسی رخدادهای امنیتی کمک می‌کند. نتیجه مؤثر به انتخاب مناسب، اتصال منابع ضروری، قواعد آزموده‌شده و فرایند روشن رسیدگی وابسته است.
برای بررسی نیازهای امنیتی و زیرساخت سازمان، از درخواست مشاوره و خدمات و پشتیبانی استفاده کنید یا از طریق تماس با واریان شبکه گستر با کارشناسان در ارتباط باشید.
