Co daje nam SIEM?

SIEM pozwala na centralne zarządzanie logami generowanymi z wielu urządzeń w jednym czasie oraz ich archiwizację. W tym celu wszystkie informacje generowane przez urządzenia bezpieczeństwa, infrastrukturę, sieci, systemy i aplikacje są przesyłane, gromadzone i scentralizowane. Ponadto silnik SIEM przechowuje informacje i udostępnia je zespołowi ds. bezpieczeństwa w celu analizy, mapowania oraz generowania raportów i zarządzania w sytuacjach kryzysowych, zgodnie z określonymi procedurami. Możliwość korelacji czyli szukania zależności pomiędzy nimi daje działom bezpieczeństwa a także pracownikom SOC niespotykany dotąd poziom wiedzy. Podstawowym źródłem danych są dane rejestru zdarzeń, ale narzędzia SIEM mogą przetwarzać również inne formy danych, przydatnych do wzbogacania rejestru logów i danych nieprzetworzonych. Są to m.in. NetFlow i pakiety sieciowe jak również informacje kontekstowe o użytkownikach, zasobach, zagrożeniach i podatnościach na nie, występujących zarówno w strukturach wewnętrznych przedsiębiorstwa jak i poza nim.