Hệ thống quản lý sự kiện an toàn thông tin (SIEM)

Vấn đề mà SIEM giải quyết

Mỗi thiết bị trong hệ thống đều ghi nhật ký riêng, theo định dạng riêng. Một cuộc tấn công thật hiếm khi để lại dấu vết đầy đủ trên một thiết bị duy nhất — nó rải rác qua tường lửa, máy chủ xác thực, máy trạm và ứng dụng. SIEM gom các mảnh rời đó lại, chuẩn hoá về cùng một ngôn ngữ, rồi tìm mối liên hệ giữa chúng.

Yếu tố quyết định hiệu quả

• Độ phủ nguồn nhật ký — thiết bị không gửi nhật ký thì SIEM không thấy được
• Chất lượng luật phát hiện — luật mặc định hiếm khi phù hợp với đặc thù từng hệ thống
• Khả năng xử lý cảnh báo giả — SIEM cấu hình kém sẽ tạo ra lượng cảnh báo khiến đội vận hành mất khả năng phân biệt cảnh báo thật

Lưu ý triển khai

Việc lựa chọn nguồn nhật ký cần cân đối giữa độ phủ và chi phí lưu trữ. NST khảo sát kiến trúc hệ thống hiện có để xác định thứ tự ưu tiên tích hợp nguồn dữ liệu.