Управљање безбедносним информацијама и догађајима () је област у оквиру рачунарске безбедности која комбинује управљање безбедносним догађајима (енгл. Security event management, SEM) и управљање безбедносним информацијама (енгл. Security information management, SIM) како би омогућила анализу безбедносних упозорења у реалном времену генерисаних од стране апликација и мрежне хардверске опреме. SIEM системи су централни за безбедносне оперативне центре (енгл. Security operations center, SOC), где се користе за откривање, истраживање и одговорање на безбедносне инциденте. SIEM технологија прикупља и обједињује податке из различитих система, омогућавајући организацијама да испуне захтеве усаглашености док се истовремено штите од претњи.

Термин SIEM је први пут уведен од стране Гартнер аналитичара Марка Николета и Амрит Вилијамса 2005. године. Од тада, SIEM се развио како би укључио напредне функције попут обавештајних података о претњама и бихејвиоралне аналитике, што омогућава SIEM решењима да управљају сложеним претњама у оквиру сајбер-безбедности, укључујући рањивост нултог дана () и полиморфни малвер.

Историја У почетку се системскa евиденција примарно користила за дебаговање. Међутим, како су оперативни системи и мреже постајали сложенији, тако се повећала и генерација системске евиденције. Надгледање системске евиденције је постало све чешће услед пораста софистицираних сајбер-напада и потребе за усаглашеношћу са регулаторним оквирима који захтевају евиденцију безбедносних контрола у оквиру оквира за управљање ризицима (енгл. Risk Management Framework, RMF).

Почетком касних 1970-их година, радне групе су кренуле да успостављају критеријуме за управљање програмима ревизије и праћења, постављајући темељ за модерне сајбер-безбедоносне праксе као што су откривање унутрашњих претњи и реаговање на инциденте.

Године 2005., термин „SIEM” (енгл. Security Information and Event Management) је први пут представљен од стране Гартнер аналитичара Марка Николета и Амрита Вилијамса. SIEM системи пружају јединствен интерфејс за прикупљање података од информационих система и њихово представљање у виду применљиве интелигенције. Национални институт за стандарде и технологију (енгл. National Institute of Standards and Technology, NIST) дефинише SIEM на следећи начин: „Апликација која омогућава прикупљање безбедносних података из компоненти информационог система и приказивање истих као применљивих информација уз помоћ јединственог интерфејса.” Поред тога, NIST је осмислио и имплементирао федерално прописани оквир за управљање ризицима (RMF).

Након глобалне имплементације RMF-а, ревизија и надзор су постали кључни за сигурност информација и безбедност. Професионалци у оквиру сајбер-безбедности се сада ослањају на податке из евиденција при обављању безбедносних функција у реалном времену, вођени моделима управљања који укључују ове процесе у аналитичке задатке. Како је концепт сигурности информација сазревао крајем 1990-их и почетком 2000-их, потреба за централизовањем системских евиденција постала је очигледна. Централизовано управљање евиденцијом омогућава лакши надзор и координацију преко умрежених система.

17. маја 2021. године, председник САД-а Џозеф Бајден потписао је Извршну наредбу 14028 под називом „Унапређење сајбер-безбедности нације”, којом су успостављени додатни захтеви за евиденцију, укључујући ревизорску евиденцију и заштиту крајњих тачака, са циљем да се побољша способност одговора на инциденте. Ова наредба је била одговор на пораст рансомвер напада који су били усмерени на критичну инфраструктуру. Појачавањем контроле сигурности информација у оквиру RMF-а, наредба је имала за циљ да подстакне усклађеност и обезбеди финансирање за иницијативе у оквиру области сајбер-безбедности.

Могућности

Агрегација података: Управљање евиденцијом (енгл. Log management) подразумева скупљање података из много извора, укључујући мрежу, безбедност, сервере, базе података, апликације, пружајући могућност утврђивања надгледаних података са циљем да се избегне пропуштање кључних догађаја. Корелација: Тражи заједничке атрибуте и повезује догађаје у смислене целине. Ова технологија пружа могућност извођења различитих техника корелације како би се интегрисали различити извори, са циљем претварања података у корисне информације. Корелација је функција која припада SEM делу у оквиру SIEM решења. Correlation Упозоравање: Аутоматизована анализа корелисаних догађаја. Контролне табле: Алатке могу узети податке о догађајима и претворити их у информативне графиконе како би помогле у уочавању образаца или препознавању активности које не формирају стандардни образац. Усклађеност података: Апликације могу да буду коришћене у сврху аутоматизације прикупљања података о усклађености, креирајући извештаје који се прилагођавају постојећим процесима безбедности, управљања и ревизије. Задржавање података: Коришћење дугорочног складиштења историјских података како би се олакшала корелација података током времена и обезбедило задржавање неопходно за захтеве усклађености. Дугорочна евиденција задржаних података је кључна у форензичким истрагама јер је мало вероватно да ће напад на мрежу бити откривен у тренутку када се он догађа. Форензичка анализа: Могућност претраживања евиденција на различитим чворовима и у оквиру различитих временских периода на основу специфичних критеријума. Ово смањује потребу за памћењем информација о евиденцији или претраживањем хиљада и хиљада постојећих евиденција.

Компоненте SIEM архитектуре могу да се разликују у зависности од добављача; међутим, генерално, основне компоненте чине SIEM мотор. Основне компоненте SIEM-а су следеће:

Сакупљач података прослеђује одабране ревизорске евиденције са хоста (пренос евиденција заснованих на агенту или хосту у индекс и тачку агрегирања). Тачка уноса и индексирања агрегационе тачке за парсирање, корелацију и нормализацију података. Чвор за претрагу који се користи за визуализацију, упите, извештаје и упозорења (анализа се врши на чвору за претрагу).

Основна SIEM инфраструктура је приказана на слици испод.

алт=Basic SIEM Infrastructure|566x566п

Случајеви коришћења Истраживач који проучава област рачунарске безбедности, Крис Кубека, идентификовала је следеће примере употребе SIEM-а, представљене на хакерској конференцији 28Ц3 (енгл. Chaos Communication Congress):

Видљивост SIEM-а и откривање аномалија могу помоћи у откривању дан-нула рањивости или полиморфног кода. Првенствено због ниске стопе откривања од стране антивируса против ове врсте брзо мењајућег малвера. Парсирање (енгл. Parsing), нормализација и категоризација евиденције се могу аутоматски обављати, без обзира на тип рачунара или мрежног уређаја, све док постоји могућност слања евиденције. Визуелизација преко SIEM-а која користи безбедносне догађаје и неуспешне евиденције може да помогне у откривању образаца. Протоколне аномалије које указују на погрешну конфигурацију или безбедносни проблем могу се идентификовати преко SIEM-а уз помоћ откривања образаца, упозорења, базне линије и контролних табли. SIEMI-и могу да открију прикривене, злонамерне комуникације и шифроване канале. Сајбер ратовање се може прецизно открити уз помоћ SIEM-а, откривајући и нападаче и жртве.

Ререфенце

Категорија:Безбедност