Sistema SIEM, quali sono i vantaggi?

Solamente dalle informazioni nella tua domanda, restringere la lista di 86 non sarà facile - ho avuto un rapido guizzo perché conosco alcuni dei migliori nomi. Alcuni punti:

• Le soluzioni SIEM dovrebbero tutte essere in grado di eseguire attività di tipo di correlazione log
• La maggior parte include la registrazione dell'inserimento del dispositivo e i controlli del tipo Tripwire (o possono incorporare Tripwire o altri log SYSLOG)
• Molti di questi hanno un'interfaccia utente ragionevole
• La maggior parte ha un'interfaccia a riga di comando scrivibile

Quello che dovresti fare è elencare le cose che vuoi / hanno bisogno di avere e selezionare su quegli oggetti. Se riesci a ridurlo a meno di dieci hai maggiori possibilità di essere in grado di eseguire test di confronto.

Personalmente uso Splunk proprio per questo. È gratuito fino a 500 MB di log analizzati giornalmente e ha una robusta funzionalità di ricerca / correlazione / dashboard. Inoltre, può eseguire gli script Python in modo nativo in modo da poter generare i tuoi dati da fonti personalizzate.

Ad esempio, confrontare una lista di chi dovrebbe funzionare con la lista degli utenti registrati sarebbe una ricerca banale. Con la versione a pagamento, potresti persino avere l'accesso di un manager in modo che potessero vedere i rapporti da soli.

Splunk è semplicemente molto potente e utile per me. Ha ridotto 45 minuti di controllo manuale di vari registri, rapporti, e-mail, ecc. Fino a una e-mail generata automaticamente in formato PDF.

Dai un'occhiata.

+1 per suggerimento di schroeder .

Ha una curva di apprendimento abbastanza esotica, con ricerche di base disponibili in pochi minuti letterali, quindi mi ci è voluto un giorno per capire come costruire una ricerca complessa. Altri due giorni per avere una serie di grafici (limiti, interruzioni, misure). Ho poi capito che ha più senso creare ricerche salvate e lavorare da thre (puoi modificarle più facilmente).

Suggerirei anche di guardare i file di configurazione (transforms.conf in particolare).

La quota di 500 MB può essere elaborata preparando i dati da distribuire allo splunk. La versione aziendale (a pagamento), tuttavia, aggiunge molti elementi di configurazione utili (in particolare una connessione al sistema di autenticazione)

Dato che lavoro per SIEM per 5 anni, farò poche dichiarazioni per me finora. Nella maggior parte dei casi SIEM è una decisione politica in azienda perché la società ha un budget e vuole aumentare la sua consapevolezza della sicurezza. Di solito si tratta di acquistare prodotti costosi e poi alla fine trascurarli. Quindi quello che cercherò in SIEM è la possibilità di estenderlo per soddisfare le proprie esigenze poiché ogni azienda ha il proprio insieme di regole e linee guida di sicurezza che deve / vuole seguire. Con questo in mente, per ottenere la maggior parte di SIEM è necessario:

• apri l'API

• opzione per scrivere gli indicizzatori

• opzione per scrivere report personalizzati

Se hai amministratori di sistema che non vogliono investire troppo tempo in esso, avrai anche bisogno di:

• aggiornamenti periodici per le regole di sicurezza e gli indicizzatori

Comunque, non so se quello che sto facendo è giusto perché sto suggerendo OTUS SIEM come nostro prodotto su cui abbiamo trascorso 4 anni fino ad ora, ma finora abbiamo avuto un sacco di esperienza utente e sappiamo con quali aspettative iniziano e con cosa si sistemano alla fine.

Poiché altre risposte hanno coperto le funzionalità che devi cercare mentre finalizzi una soluzione SIEM per la tua organizzazione, vorrei solo aggiungere alcuni punti importanti sull'implementazione.

Hai menzionato che il tuo capo desidera una certa informazione sui dipendenti e ha ragione quando pensa che un SIEM possa svolgere il compito richiesto. Tuttavia, prima di procedere con un'implementazione SIEM, è necessario prendere in considerazione molti altri fattori. L'implementazione SIEM non può essere progettata per dare al tuo capo il tipo di rapporti che desidera. Il compito principale di un SIEM è quello di rilevare e segnalare gli incidenti di sicurezza e, al fine di farlo in modo efficiente, è necessario innanzitutto identificare quali sono le risorse chiave e quanto è necessario proteggerle.

Ho visto casi in cui i sistemi SIEM vengono utilizzati per abilitare la conformità alle policy in organizzazioni che a volte vanificano lo scopo principale di avere un SIEM - Security Incident Detection. Sovraccaricare il SIEM con configurazioni che ti consentono di mantenere la conformità alle policy senza trascurare gli incidenti di sicurezza non è qualcosa che vorresti fare.