SIEM-arkkitehtuuri: lokien vastaanotto, jäsentäminen ja korrelaatio

Security Information and Event Management (SIEM) -alusta kokoaa lokitietoja organisaation koko infrastruktuurista ja analysoi niitä tietoturvahäiriöiden merkkien varalta. SIEM yhdistää kaksi ominaisuutta: Security Information Management (SIM) — historiallisten lokitietojen tallentamisen ja analysoinnin — sekä Security Event Management (SEM) — reaaliaikaisen valvonnan ja hälytykset. Yhdessä ne tarjoavat tietoturvatiimeille näkyvyyden koko ympäristöön yhdestä käyttöliittymästä.

SIEM vastaanottaa lokeja monenlaisista lähteistä: palomuureista ja IDS/IPS-järjestelmistä, käyttöjärjestelmistä (Windows Event Logs, Linux syslog), todennusjärjestelmistä (Active Directory, RADIUS, Okta), päätelaitteista (EDR-agentit), pilvialustoista (AWS CloudTrail, Azure Activity Log), sovelluksista (verkkopalvelimet, tietokannat) ja verkkolaitteista (kytkimet, reitittimet, VPN-yhdyskäytävät). Tietojen vastaanoton kattavuus määrittää SIEM:n tunnistuskattavuuden.

Raakalokit saapuvat eri muodoissa: CEF (Common Event Format), LEEF (Log Event Extended Format), syslog, JSON, Windows XML ja valmistajakohtaiset muodot. SIEM:n jäsennin poimii raakatekstistä rakenteiset kentät (aikaleima, lähde-IP, kohde-IP, käyttäjä ja tapahtumatyyppi). Normalisoinnissa nämä kentät yhdistetään yhteiseen skeemaan, jotta kyselyt ja säännöt toimivat yhdenmukaisesti kaikissa lokilähteissä alkuperäisestä muodosta riippumatta.

Tapahtumien korrelaatio on prosessi, jossa useista lähteistä peräisin olevia toisiinsa liittyviä tapahtumia yhdistetään tietoturvahäiriöön viittaavien mallien tunnistamiseksi. Yksi epäonnistunut kirjautuminen on kohinaa; samasta IP-osoitteesta viidessä minuutissa tehtyä 50 epäonnistunutta kirjautumista 10 tilille on brute-force-hyökkäys. Korrelaatiomoottorit soveltavat tapahtumavirtoihin aikajaksoihin perustuvia sääntöjä, ryhmittelevät toisiinsa liittyvät tapahtumat ja tuottavat hälytyksiä, kun kohinasta alkaa erottua epäilyttäviä malleja.

SIEM-alustoilla on kaksi pääasiallista arkkitehtuurityyppiä. Paikallisesti asennetut SIEM-järjestelmät (Splunk Enterprise, IBM QRadar, ArcSight) tarjoavat täyden hallinnan tietoihin, mutta edellyttävät merkittävää infrastruktuuria ja ylläpitotyötä. Pilvinatiivit SIEM-järjestelmät (Microsoft Sentinel, Google Chronicle, Elastic SIEM) tarjoavat joustavan skaalautuvuuden, pienemmän ylläpitotaakan ja natiivin integraation pilvipalveluihin. Monet organisaatiot käyttävät hybridiarkkitehtuuria: pilvi-SIEM:ää pilvilokeille ja paikallista SIEM:ää arkaluonteisille tiedoille, joita ei voida siirtää ympäristön ulkopuolelle.

SIEM-järjestelmät järjestävät vastaanotetut tiedot indekseihin tai tauluihin lokityypin tai ajanjakson perusteella. Dataputket esikäsittelevät lokit ennen tallennusta: ne suodattavat kohinaa (kuten kuntotarkistusten pingit), rikastavat kenttiä (lisäämällä IP-osoitteisiin maantieteellisen sijainnin) ja ohjaavat suurivolyymiset lokit edullisempiin tallennuskerroksiin. Säilytyskäytännöt määrittävät, kuinka kauan lokeja säilytetään — vaatimustenmukaisuusvaatimukset edellyttävät usein 12 kuukauden säilytystä verkossa sekä ylimääräistä arkistotallennusta seitsemäksi vuodeksi.

SIEM-alustat käyttävät lokitietojen hakemiseen erikoistuneita kyselykieliä. Splunk SPL (Search Processing Language) käyttää putkiin perustuvaa syntaksia. Microsoft Sentinel käyttää KQL:ää (Kusto Query Language). Elastic käyttää EQL:ää (Event Query Language) ja Lucenea. Näillä kielillä analyytikot voivat suodattaa, koostaa, yhdistää ja visualisoida lokitietoja häiriöiden tutkimista ja tunnistussääntöjen rakentamista varten. SIEM:n kyselykielen hallinta on analyytikon keskeinen taito.

Nykyaikaiset SIEM-järjestelmät integroituvat uhkatietoalustoihin (TIP) ja rikastavat tapahtumia automaattisesti kontekstilla. Kun tapahtuma sisältää IP-osoitteen tai toimialuenimen, SIEM tarkistaa uhkatietosyötteet (VirusTotal, AlienVault OTX ja kaupalliset syötteet) ja lisää tiedon siitä, onko indikaattori tunnetusti haitallinen, sen uhkaluokan sekä luotettavuuspistemäärän. Tämä rikastus nopeuttaa lajittelua huomattavasti — analyytikot näkevät kontekstin ilman, että heidän tarvitsee etsiä jokaista indikaattoria erikseen.

SIEM-koontinäytöt tarjoavat SOC-tiimeille yhdellä silmäyksellä saatavan operatiivisen näkyvyyden. Yleisiä koontinäyttöjen paneeleja ovat hälytyslähteet vakavuusasteen mukaan, todennusvirheiden kehitys ajan mittaan, saapuvien yhteyksien maantieteelliset kartat, käyttäjätoiminnan poikkeamapisteet ja aktiivisten häiriöiden määrä. Koontinäytöt palvelevat eri kohderyhmiä — analyytikot tarvitsevat operatiivisia yksityiskohtia, kun taas esihenkilöt tarvitsevat keskeisten suorituskykymittareiden yhteenvetoja, kuten keskimääräisen havaitsemisajan (MTTD) ja hälytysmäärien kehityksen.

Hälytysväsymystä syntyy, kun liian monet väärät positiiviset tulokset kuormittavat analyytikkoja ja aiheuttavat todellisten uhkien jäämisen huomaamatta. Väärien positiivisten tulosten hallinta SIEM-järjestelmässä edellyttää seuraavia toimia: korrelaatiosääntöjen hienosäätöä lisäämällä poikkeuksia tunnetulle hyväksyttävälle toiminnalle, riskipisteytystä luotettavimpien hälytysten priorisoimiseksi, vaimennussääntöjä toistuvien harmittomien mallien hiljentämiseksi sekä hälytysten määrää koskevien mittareiden säännöllistä tarkastelua. Tavoitteena on hallittava määrä erittäin luotettavia hälytyksiä, jotka analyytikot voivat tutkia perusteellisesti.

Security Orchestration, Automation, and Response (SOAR) -alustat integroituvat SIEM-järjestelmiin yleisten hälytystyyppien käsittelyn automatisoimiseksi. Kun SIEM laukaisee hälytyksen, SOAR voi automaattisesti: kysellä käyttäjän toimintaa, tarkistaa laitteen vaatimustenmukaisuuden, etsiä IP-osoitteen uhkatietolähteestä, estää IP-osoitteen palomuurissa, poistaa käyttäjätilin käytöstä ja luoda häiriölipukkeen — kaikki muutamassa sekunnissa. SOAR mahdollistaa SOC-tiimien suurempien hälytysmäärien käsittelyn ilman henkilöstömäärän vastaavaa kasvattamista.

Tässä oppitunnissa opitte, että SIEM-järjestelmät kokoavat ja normalisoivat lokit eri lähteistä yhteiseen skeemaan, tapahtumien korrelaatiokoneistot soveltavat aikajaksoihin perustuvia sääntöjä useiden tapahtumien muodostamien hyökkäysmallien havaitsemiseen ja uhkatietojen integrointi sekä SOAR-automaatio nopeuttavat analyytikkojen reagointia ja vähentävät hälytysväsymystä. Seuraavaksi tarkastelemme tehokkaiden SIEM-tunnistussääntöjen ja hälytysten kirjoittamista.