SIEM (Security Information and Event Management) là hệ thống quản lý thông tin và sự kiện an toàn thông tin. SIEM tập trung log và sự kiện từ nhiều nguồn, chuẩn hóa dữ liệu, phân tích mối liên hệ giữa các sự kiện và tạo cảnh báo khi phát hiện hoạt động đáng ngờ.

Trong nền tảng SecOps, SIEM cung cấp dữ liệu và các công cụ cốt lõi để đội ngũ SOC giám sát môi trường, điều tra cảnh báo và phát hiện mối đe dọa. Người dùng có thể thực hiện toàn bộ quy trình từ tiếp nhận dữ liệu đến theo dõi kết quả xử lý trên cùng một nền tảng.

Mục tiêu của SIEM

SIEM giúp tổ chức:

• Tập trung dữ liệu an toàn thông tin từ ứng dụng, máy chủ, thiết bị mạng, thiết bị đầu cuối, dịch vụ đám mây và các sản phẩm bảo mật.
• Chuẩn hóa dữ liệu từ nhiều định dạng để có thể tìm kiếm, lọc và phân tích nhất quán.
• Phát hiện sớm các hoạt động bất thường, vi phạm chính sách và dấu hiệu tấn công.
• Cung cấp ngữ cảnh cần thiết để chuyên viên phân tích điều tra nhanh và chính xác.
• Lưu trữ dấu vết phục vụ điều tra, báo cáo, kiểm toán và đáp ứng yêu cầu tuân thủ.

SIEM hoạt động như thế nào

Quy trình xử lý dữ liệu SIEM thường gồm các bước sau:

1. Thu thập dữ liệu: Tiếp nhận log và event từ các nguồn CNTT, mạng, đám mây và an toàn thông tin thông qua các kết nối được hỗ trợ.
2. Phân tích và chuẩn hóa: Phân tích cấu trúc log, trích xuất các trường cần thiết và chuyển đổi dữ liệu về mô hình thống nhất.
3. Lưu trữ và lập chỉ mục: Lưu raw log và event để phục vụ truy vấn, điều tra và phân tích trong thời gian phù hợp với chính sách của tổ chức.
4. Tìm kiếm và tương quan: Cho phép truy vấn dữ liệu theo từ khóa, trường dữ liệu hoặc các điều kiện logic; đồng thời kết hợp nhiều sự kiện để nhận diện mẫu hành vi.
5. Phát hiện mối đe dọa: Áp dụng rule và các phương pháp phân tích để xác định sự kiện hoặc chuỗi sự kiện có rủi ro.
6. Tạo cảnh báo và điều tra: Sinh Alert khi điều kiện phát hiện được đáp ứng, sau đó cung cấp dữ liệu liên quan để chuyên viên phân tích đánh giá.
7. Theo dõi và cải thiện: Ghi nhận kết quả xử lý, đo lường hiệu quả phát hiện và tinh chỉnh rule để giảm cảnh báo sai hoặc tăng phạm vi bao phủ.