SIEM nedir? 

SIEM nedir? 

SIEM, tüm verileri (çalışma günlükleri veya diğer tüm günlükleri) koruma araçlarından toplayan, farklı kaynaklardan gelen birçok günlük “biçimini” anlayabilen bir olay yönetim sistemidir. Koruma sistemleri sürekli olarak gelişmekte ve yeni tehdit türlerine uyum sağlamaktadır. Mevcut güvenlik durumuna ilişkin verilerin geldiği bilgi kaynaklarının sayısı her geçen gün artmaktadır. Altyapı çok karmaşık olduğunda, içinde neler olduğuna dair büyük resmi takip etmek imkânsızdır. Ortaya çıkan tehditlere zamanında yanıt vermezseniz ve bunları engellemezseniz, yüzlerce saldırı tespit sistemi bile işe yaramaz. Log içerisinden arama, tarama yaparak önemli güvenlik zafiyetleri tespit edilemez. Bu tür zafiyetleri tespit için Log yönetiminden SIEM çözümlerine yönelmelisiniz.

SIEM – Security Information ve Event Management kelimelerinin kısaltılmasıdır. Adından da anlaşılacağı gibi, SIEM korelasyonlar olmadan “tek başına” hiçbir şeyi önleyemez veya koruyamaz. Bu sistem, DLP, IDS, anti virüsler, çeşitli donanımlar (Güvenlik duvarı, yönlendiriciler vb.) gibi çeşitli diğer sistemlerden gelen bilgileri analiz etmek ve bazı kriterlere göre normlardan sapmaları daha da tanımlamak için tasarlanmıştır. Bir sapma tespit eder etmez, bir olay üretir. SIEM’in çalışmasının merkezinde, neredeyse çıplak matematik ve istatistikler vardır. Yani sadece sistem olarak (senaryosuz)  SIEM’in herhangi bir koruyucu işlevi yoktur.

Neden SIEM?

SIEM tam olarak bilgi toplamak ve analiz etmek için gereklidir. Bilgi, DLP sistemleri, IDS, yönlendiriciler, güvenlik duvarları, kullanıcı iş istasyonları, sunucular gibi çeşitli kaynaklardan gelir… Çok sayıda kaynaktan günlükleri manuel olarak görüntülemek oldukça zahmetlidir. Çeşitli kaynaklardan alınan görünüşte zararsız olayların, toplamda bir tehdit taşıdığı durumlar vardır. Şirket için hassas veri içeren bir e-postanın, bunu yapma hakkına sahip bir kişi tarafından ne zaman gönderildiğini, ancak gönderdiği kişinin adres hinterlandı dışındaki bir adrese gönderdiğini varsayalım. DLP sistemi bunu yakalamayabilir, ancak birikmiş istatistikleri kullanarak SIEM zaten buna dayalı bir olay oluşturacaktır.

Diyelim ki olay oldu. Ama bilgi sızdıran çalışan hiçbir şekilde bunu kabul etmiyor. Peki, bu durumda olay nasıl açığa çıkartılır? SIEM, hem iç soruşturmalar hem de mahkeme için gerekli tüm kanıt tabanını sağlayabilir. Aslında, bu onun ana görevlerinden biridir. Tüm paydaşlar olayın yaratıldığı tarihte haberdar edilecektir.

Ve bir ekleme daha yaparsak, periyodik olarak herhangi bir standarda veya yönetmeliğe (KVKK, Iso27001, GDPR gibi) uygunluk için denetimler yapmak gerekir. SIEM bunu da otomatik yapabilir. Ek özelliklerden, uygulamadan sonra, SIEM başka bir bilgi güvenliği aracının ek olarak satın alınmaması için daha az para harcamaya yardımcı olabilir: örneğin, bir raporu gerekçelendirme olarak eklersiniz, alınan olayların çoğunun talep ettiğiniz araç tarafından ikili, üçlü korelasyonu yapılamaz. Başarılı bir Log Yönetimi ve SIEM Projeleri için gereksinimlerin tespiti yapılarak, kapsam belirleme ve proje yönetimi ile yapılmalıdır.

SIEM kullanmanın faydaları

SIEM, ağınızda neler olup bittiğini, diğer herhangi bir güvenlik yönetimi sistemi veya bilgi kaynağının sağlayabileceğinden daha ayrıntılı olarak görür:

• SIEM ihtiyacınızın uygun, kolay ve güvenilir çözümü,
• Gelişmiş kural ve korelasyonlar sayesinde erken saldırı tespiti,
• Denetimlerde istenilen loglara kolay erişim,
• Indexleme yapısı sayesinde loglar içerisinde hızlı arama yapabilme,
• Lisans maliyetleri, EPS sınırlaması olmaması,
• Log üretebilen tüm cihazlar ile uyumluluk,
• Kullanıcı dostu arayüzler.

SIEM sistemlerinizde bulunan bilgileri birleştirerek, bunları tek bir ara yüzden analiz etmenize ve yönetmenize olanak tanır.

Veri depolamak için ne kadar sabit disk alanı gerekir?

SIEM üreticileri Sabit disk alanı, kaynak sayısına, olay oluşturma yoğunluğuna (kullanıcı sayısına bağlı) ve belirli bir satıcının veri alış verişine bağlı olarak hesaplar. Genellikle her Siem üreticisinin “donanım” ve “bulut” seçenekleri mevcuttur.  Ancak birçok kuruluş yurt dışından bulut teknolojisini kabul etmek istemeyebilir.

Siem ile çalışmak zor mu?

SIEM ile çalışmak zor değildir. Modern SIEM’lerde, bir WEB uygulaması gibi tüm ara yüz sezgiseldir. Çoğu bir tarayıcı aracılığıyla çalışır. Gerekirse, rollere erişebileceğiniz farklı bölümler arasında ayrım yapabilirsiniz.

Hangi Siem Ürünü

Normal bir entegratör genellikle müşterinin altyapısını inceler, ihtiyaçlarının neler olduğuna bakar, ne kadar para vermeye hazır olduğunu öğrenir. Sonra satıcı teklifini yapar. Size düşen Siem fiyatları hakkında gerekli bilgiyi almak ve korelasyon yeteneklerini sormaktır. Çünkü bir SIEM yeteneklerini korelasyonlardan alır. Bir çok açık kaynak kodlu sistemde korelasyon tanımlama kısıtlıdır.

Siem Fiyatları

Son makalelerde ortak bazı soruların cevaplarını yazmaya çalıştık. Ne yazık ki, SIEM’lerin tamamının özelliklerini ve soyut bir organizasyon için çeşitli rakamlar (fiyat, performans) vermek zordur.

Siem firmalarını karşılaştırmak ve uygun projeyi bulmak için şu soruların cevaplarını vermeniz gerekir:

1. Sonuçta SIEM’in uygulanmasından ne bekliyorum?
2. Toplam kullanıcı sayısı kaçtır?
3. Olaylar da dikkate alınması gereken coğrafi olarak uzak şubeler var mı?
4. Hangi bilgi güvenlik sistemlerine sahibiz?
5. Ağ akışlarını analiz etmeyi planlıyor musunuz?
6. Sunuculardan, kullanıcı iş istasyonlarından olay çekmeyi planlıyor musunuz?
7. Altyapıda, olayların da dikkate alınması gereken belirli cihazlar var mı?
8. Olaylar ne sıklıkla müdahale / soruşturma gerektirir? (<10 olay / gün, 10 … 50 olay / gün, 50 … 100 olay / gün,> 100 olay / gün)
9. Herhangi bir standarda uygunluğu kontrol etmeniz mi gerekiyor? Öyleyse nasıl?
10. Olayları ele almaktan kim sorumlu olacak?
11. Ne kadar süre somut bir sonuç almayı bekliyorum?
12. SIEM uygulaması ve tedariki için ne kadar harcama yapmak istiyoruz?
13. SIEM’i kim destekleyecek ve destek için ne kadar ödemeye hazırız?

Siem zorunlu mu?

SecroMix SIEM, endüstri standartlarına ve düzenlemelerine uymak için gerekli güvenlik kontrollerinden bazılarını sağlar. SIEM ürünlerini, projeleri KVKK için,  ISO27001 için,  PCI/DSS denetimi  için lazım diyerek alınırsa SIEM tek başına hiçbir şeyi önleyemez. Bir olay kayıtlıysa, o zaman zaten meydana gelmiştir. Başka şekilde dersek, DLP iletiyi engeller, antivirüs Trojan’ı öldürür, kullanıcı bilgi sızdırmak için ilk uyarıdan sonra fikrini değiştirir. Farklı yöntemler arar. SIEM size dahili gösterilerde, mahkemede kullanılabilecek veya suçluya gösterebilecek kanıtlar sunar.

Siem ve Koralasyon Kavramı