5 шагов для успешного внедрения SIEM

Хотя каждое развертывание уникально, следующие ключевые шаги рекомендуются для большинства или всех реализаций SIEM.

1. Спроектируйте архитектуру SIEM

Архитектура SIEM включает в себя все вспомогательные системы, на которые SIEM опирается и с которыми взаимодействует. На этом этапе тщательно рассмотрите текущие и будущие потребности в производительности, устойчивости и безопасности платформы.

Определите и расставьте приоритеты в основных сценариях использования SIEM в вашей организации, которые должны учитываться при принятии решений об архитектуре. Если у вас есть варианты использования, которые SIEM не решает самостоятельно, рассмотрите возможность внедрения дополнительных дополнительных технологий или методов. Сегодня организации обычно сочетают SIEM с другими инструментамитакие как SOAR и XDR, например.

Обратите внимание как на основные, так и на побочные затраты при проектировании архитектуры SIEM и планировании ее развертывания. Возможные непредвиденные расходы включают следующее:

• Потоки разведывательной информации о киберугрозах SIEM принимает данные.
• Миграция сохраненных данных журнала из существующей SIEM в новую SIEM.
• Параллельная работа устаревшего и нового SIEM за счет поэтапной миграции или требований к сохранению журналов.
• Долгосрочное хранение данных журнала.
• Обучение персонала новому SIEM.
• Модели ценообразования на основе приема данных, которые могут привести к непредвиденному увеличению затрат. Например, в случае необычного события безопасности резкие скачки в журналировании могут привести к резкому росту затрат.

2. Спланируйте развертывание

Этап планирования может оказаться на удивление сложным из-за большого количества систем, взаимодействующих с SIEM. Например, платформа SIEM должна интегрироваться со всеми технологиями, на которые она опирается для получения информации, включая журналы, аналитические каналы, системы управления уязвимостями и активами, а также любые другие технологии, которые предоставляют критически важные входные данные.

Развертывание также должно включать все технологии, которые использует сам SIEM, например: оркестровка безопасности, автоматизация и реагирование; обнаружение и реагирование конечных точек; и другие реагирование на инцидент инструменты.

Если у вас установлена устаревшая SIEM, вам также необходимо учитывать следующее:

• Какие пользовательские панели мониторинга, конфигурации и рабочие процессы необходимо будет перенести, чтобы обеспечить непрерывность работы и гарантировать, что важные предупреждения безопасности не останутся незамеченными.
• Необходимо ли вашей организации сохранять устаревшие данные журналов, например, для соответствия нормативным требованиям или для установления базовых показателей производительности. Если да, определите, как и где будут храниться устаревшие данные — например, в старой SIEM, новой SIEM или сторонней платформе управления данными.
• Существуют ли известные или неизвестные пользователи за пределами SecOps, варианты использования которых могут расширить сферу миграции и создать дополнительные проблемы.

3. Выполните поэтапное развертывание

Быстрый переход на новый SIEM может привести к хаосу и путанице, из-за чего будет практически невозможно точно определить причину конкретной проблемы и своевременно ее устранить.

Поэтому лучше всего запускать старый и новый SIEM параллельно и постепенно тестировать и интегрировать больше систем с новой платформой. Устраняйте любые сбои по мере их возникновения. Протестируйте SIEM, чтобы оценить производительность, отказоустойчивость и безопасность.

Предостережение: использование двух SIEM в течение длительного времени может привести к перегрузке персонала. Руководителям службы безопасности придется сбалансировать потребность в методическом развертывании и эффективном развертывании.

4. Настройка и настройка

SIEM требуют большого количества начальной ручной настройки — с постоянной реконфигурацией с течением времени — чтобы поддерживать ложноположительные и ложноотрицательные оповещения на разумном уровне. Создание и уточнение наборов правил и фильтров; настроить оповещения, пороговые значения и триггеры; а также разрабатывать и совершенствовать информационные панели и отчеты в соответствии с потребностями организации.

5. Обновление политик, процессов и процедур.

В идеале эта работа начинается на предыдущих этапах и завершается по мере приближения к полномасштабному развертыванию SIEM. Обучите персонал использованию и обслуживанию нового SIEM.

Карен Скарфон — общий эксперт по кибербезопасности, который помогает организациям передавать техническую информацию посредством письменного контента. Она была соавтором Cybersecurity Framework (CSF) 2.0 и ранее была старшим научным сотрудником NIST.