SIEM-система (Security Information and Event Management) — это решение для централизованного управления событиями информационной безопасности. Позволяет обеспечить сбор и хранение информации, выполнять аудит событий информационной безопасности на предмет соответствия внутренним политикам и различным международным стандартам, выявлять угрозы, а также осуществлять обработку инцидентов и дальнейшую нотификацию в режиме реального времени путем их корреляции (сопоставления событий) из различных типов систем.
При нынешнем уровне развития информационных технологий невозможно представить себе компанию, которая не пользовалась бы программными продуктами. Использование программного обеспечения позволяет автоматизировать многие процессы, контролировать безопасность и обеспечивать отказоустойчивость систем. С другой стороны, это требует значительных затрат человеческих ресурсов на поддержание информационной системы в функционирующем состоянии, на ее защиту и анализ событий, генерируемых данной информационной инфраструктурой. Если же учесть, что парк из разнородных систем нередко исчисляется десятками, а то и сотнями типов, несложно представить, сколько персонала понадобится задействовать для анализа событий с этих систем и своевременного на них реагирования.
Кроме того, возникает необходимость хранения всей информации о произошедших событиях как для статистики, так и для проведения расследований или выявления причин сбоев спустя длительное время. Также сбор и хранение логов является обязательным требованием многих международных и российских стандартов в области информационной безопасности.
При использовании в больших компаниях множества разнородных технологий анализ логов вручную становится попросту невозможен. Существует несколько вариантов решения подобной ситуации. Первый вариант — создание системы фильтров или правил корреляции «на коленках», используя технологии, которые не требуют материальных вложений и общедоступны. Даже если кому-то это может показаться несерьезным, я бы не был столь категоричен. Для небольших компаний или компаний, стесненных в средствах, это все же лучше, чем анализировать события вручную или не анализировать вовсе. Тем более что сейчас появились бесплатно распространяемые системы данного класса, правда, с ограниченным функционалом. Но об этом чуть позже.
Каким же образом выбрать, а потом и успешно внедрить SIEM-систему? Данная публикация как раз и преследует цель описать основные стадии выбора и внедрения решения данного класса.
< ... >
