Architektura SIEM: pozyskiwanie, parsowanie i korelacja logów

Platforma Security Information and Event Management (SIEM) agreguje dane z logów pochodzące z całej infrastruktury organizacji i analizuje je pod kątem oznak incydentów bezpieczeństwa. SIEM łączy dwie funkcje: Security Information Management (SIM) — przechowywanie i analizowanie historycznych danych z logów — oraz Security Event Management (SEM) — monitorowanie i generowanie alertów w czasie rzeczywistym. Razem zapewniają zespołom bezpieczeństwa widoczność całego środowiska z poziomu jednego interfejsu.

SIEM pozyskuje logi z różnych źródeł: zapór sieciowych i IDS/IPS, systemów operacyjnych (Windows Event Logs, Linux syslog), systemów uwierzytelniania (Active Directory, RADIUS, Okta), punktów końcowych (agenty EDR), platform chmurowych (AWS CloudTrail, Azure Activity Log), aplikacji (serwery WWW, bazy danych) oraz urządzeń sieciowych (przełączniki, routery, bramy VPN). Zakres pozyskiwanych danych decyduje o pokryciu wykrywania zapewnianym przez SIEM.

Surowe logi docierają w różnych formatach: CEF (Common Event Format), LEEF (Log Event Extended Format), syslog, JSON, Windows XML oraz formatach zastrzeżonych. Parser SIEM wyodrębnia z surowego tekstu ustrukturyzowane pola (znacznik czasu, źródłowy adres IP, docelowy adres IP, użytkownik, typ zdarzenia). Normalizacja mapuje te pola na wspólny schemat, dzięki czemu zapytania i reguły mogą działać jednolicie dla wszystkich źródeł logów, niezależnie od ich formatu.

Korelacja zdarzeń to proces łączenia powiązanych zdarzeń z wielu źródeł w celu identyfikowania wzorców wskazujących na incydent bezpieczeństwa. Pojedyncza nieudana próba logowania jest szumem; 50 nieudanych prób logowania na 10 kontach w ciągu 5 minut z tego samego adresu IP wskazuje na atak brute force. Mechanizmy korelacji stosują reguły wykorzystujące okna czasowe do strumieni zdarzeń, grupują powiązane zdarzenia i generują alerty, gdy z szumu wyłonią się podejrzane wzorce.

Platformy SIEM występują w dwóch głównych wariantach architektonicznych. Lokalne systemy SIEM (Splunk Enterprise, IBM QRadar, ArcSight) zapewniają pełną kontrolę nad danymi, ale wymagają znacznej infrastruktury i nakładów operacyjnych. Natywne dla chmury systemy SIEM (Microsoft Sentinel, Google Chronicle, Elastic SIEM) oferują elastyczne skalowanie, mniejsze obciążenie operacyjne i natywną integrację z usługami chmurowymi. Wiele organizacji korzysta z architektur hybrydowych, używając SIEM w chmurze do obsługi logów chmurowych, a lokalnego SIEM do danych wrażliwych, które nie mogą opuścić środowiska.

Systemy SIEM organizują pozyskane dane w indeksach lub tabelach według typu logu albo okresu. Potoki danych wstępnie przetwarzają logi przed ich zapisaniem: odfiltrowują szum (wykluczając sygnały kontroli stanu), wzbogacają pola (dodając geolokalizację do adresów IP) i kierują logi o dużym wolumenie do tańszych warstw pamięci masowej. Zasady przechowywania określają, jak długo logi są zachowywane — wymagania zgodności często nakazują przechowywanie ich przez 12 miesięcy online oraz dodatkowo w archiwum przez 7 lat.

Platformy SIEM używają specjalistycznych języków zapytań do przeszukiwania danych z logów. Splunk SPL (Search Processing Language) wykorzystuje składnię opartą na potoku. Microsoft Sentinel używa KQL (Kusto Query Language). Elastic używa EQL (Event Query Language) oraz Lucene. Języki te pozwalają analitykom filtrować, agregować, łączyć i wizualizować dane z logów w celu badania incydentów i tworzenia reguł wykrywania. Znajomość języka zapytań używanego przez dany SIEM jest podstawową umiejętnością analityka.

Nowoczesne systemy SIEM integrują się z platformami threat intelligence (TIP), aby automatycznie wzbogacać zdarzenia o kontekst. Gdy zdarzenie zawiera adres IP lub nazwę domeny, SIEM sprawdza źródła threat intelligence (VirusTotal, AlienVault OTX, źródła komercyjne) i dodaje informację, czy dany wskaźnik jest znany jako złośliwy, jego kategorię zagrożenia oraz ocenę wiarygodności. Takie wzbogacanie znacznie przyspiesza triage — analitycy widzą kontekst bez konieczności ręcznego sprawdzania każdego wskaźnika.

Pulpity nawigacyjne SIEM zapewniają zespołom SOC operacyjną widoczność na pierwszy rzut oka. Typowe elementy pulpitu obejmują: najważniejsze źródła alertów według poziomu ważności, trendy nieudanych uwierzytelnień w czasie, mapy geograficzne połączeń przychodzących, wyniki anomalii aktywności użytkowników oraz liczbę aktywnych incydentów. Pulpity są przeznaczone dla różnych odbiorców — analitycy potrzebują szczegółów operacyjnych, natomiast menedżerowie potrzebują podsumowań KPI, takich jak średni czas wykrycia (MTTD) i trendy dotyczące liczby alertów.

Zmęczenie alertami występuje, gdy zbyt wiele fałszywie pozytywnych alertów przytłacza analityków, przez co mogą oni przeoczyć rzeczywiste zagrożenia. Zarządzanie fałszywie pozytywnymi alertami w systemie SIEM wymaga: dostrajania reguł korelacji przez dodawanie wykluczeń dla znanych, prawidłowych działań, oceny ryzyka w celu nadania priorytetu alertom o wysokim poziomie pewności, reguł wyciszania powtarzalnych, nieszkodliwych wzorców oraz regularnego przeglądu wskaźników dotyczących liczby alertów. Celem jest uzyskanie możliwej do obsłużenia liczby alertów o wysokiej wiarygodności, które analitycy mogą dokładnie zbadać.

Platformy Security Orchestration, Automation, and Response (SOAR) integrują się z systemami SIEM, aby automatyzować reagowanie na typowe rodzaje alertów. Gdy SIEM wygeneruje alert, SOAR może automatycznie: sprawdzić aktywność użytkownika, zweryfikować stan zgodności urządzenia, wyszukać adres IP w źródłach informacji o zagrożeniach, zablokować adres IP na zaporze sieciowej, wyłączyć konto użytkownika oraz utworzyć zgłoszenie dotyczące incydentu — wszystko w ciągu kilku sekund. SOAR umożliwia zespołom SOC obsługę większej liczby alertów bez proporcjonalnego zwiększania zatrudnienia.

W tej lekcji nauczył się Pan / nauczyła się Pani, że: systemy SIEM agregują i normalizują logi z różnych źródeł do wspólnego schematu, silniki korelacji zdarzeń stosują reguły w określonych oknach czasowych do wykrywania wzorców ataków na podstawie wielu zdarzeń, a integracja z narzędziami threat intelligence i automatyzacja SOAR przyspieszają reakcję analityków i ograniczają zmęczenie alertami. W następnej części omówimy tworzenie skutecznych reguł wykrywania i alertów SIEM.