SIEM Nedir?
SIEM (Security Information And Event Management) teknolojisinin Türkçede ki karşılığı genelde Güvenlik Bilgisi ve Olay İzleme Sistemi olarak tanımlanır.
SIEM (Security Information And Event Management) teknolojisi SIM (Security Information Management) ve SEM (Security Event Management) teknolojilerini tek bir teknolojide birleştiren bir Güvenlik bilgisi ve olay izleme sistemidir.
SIEM sistemlerinin temel işlevini basitçe tanımlayacak olursak, farklı kaynaklardan log toplamak, topladığı bu logları anlamlandırmak ve belirlenmiş kurallar çerçevesinde uyarılar oluşturarak gerektiğinde bu uyarıları aksiyona dönüştürmektir. Örneğin ağ’da olası bir güvenlik sorunu algılandığında SIEM sistemi, ağ cihazlarından topladığı loglar ile bunu tespit edip uyarıya ve aksiyona dönüştürebilir. Böylece güvenlik sorunu sistemlerimize zarar vermeden tespit etmiş ve engellemiş oluruz.
En temel düzeyde ki bir SIEM sistemi, önceden oluşturulmuş kurallara dayalı olabilir, veya toplanan loglar arasında ilişkilendirme yapan korelasyon motorlarını kullanabilir. Gelişmiş SIEM sistemleri, kullanıcı ve varlık davranışı analizlerini (UEBA), SOAR vb. teknolojileri içerecek veya entegre çalışabilecek şekilde tasarlanmıştır.
SIEM avantajları nelerdir?
Günümüzde neredeyse her ölçekteki işletmede güvenlik için olmazsa olmaz ihtiyaçlardan biri haline gelen SIEM Güvenlikle ilgili neredeyse tüm verilere tek bir pencereden erişebilme olanağı sağladığı için, her büyüklükteki kuruluşun olağan dışı durumları tespit etmesini kolaylaştırır.
SIEM sistemleri; Firewall, IPS/IDS, Antivirüs, DLP vb. güvenlik ürünleri, Son kullanıcı cihazları, Sunucular ve Ağ cihazlarından logları Syslog, WMI, SNMP, JDBC vb. protokoller kullanarak veya agent ile toplar. Bazı SIEM ürünleri log toplama için Collectorler kullanırlar. Collectorlerin işlevleri değişkenlik gösterebilir. Bazı durumlarda Collectorler sadece gelen ham logu SIEM sistemine aktarmakla görevliyken, Bazı durumlarda da Gelen logu parse etmek, zenginleştirmek, ayrıştırmak vb. işlemlerden geçirdikten sonra SIEM’e gönderir. Böylece iletilen ve depolanan bilginin hacmi azaltılır.
SIEM ürünleri değerlendirilirken dikkat edilecek önemli özelliklerden bazıları şöyledir;
Diğer Ürünler & Teknolojiler ile entegrasyon: Sistem yapımızda bulunan ve bulunabilecek diğer güvenlik ürünleri ile entegre çalışabiliyor mu ? Aksiyon aldırabiliyor mu?
Yapay Zeka : Sistem machine learning veya deep learning kullanarak zenginlik sağlayabiliyor ve doğruluk sağlayabiliyor mu ?
Tehdit İstihbaratlarından Beslenme: Sistem üreticinin belirlediği veya Global geçerliliği olan tehdit istihbaratlarından beslenebiliyor mu ? Buralardan aldığı veriler ile zenginlik sağlayabiliyor, uyarılar üretebiliyor veya aksiyon alabiliyor mu ?
Kapsamlı Raporlama: Sistem Güvenlik olayları, ihlalleri vb. hakkında detaylı raporlamalar sunabiliyor mu? Kullanıcıların bu raporları geliştirmelerine veya yeni raporlar oluşturmalarına olanak sağlıyor mu?
Forensics: Sistem, paketlerin başlıklarını ve içeriklerini kaydederek güvenlik olayları hakkında ek bilgi yakalayabilir mi?
