Какую задачу нужно решить?
Компании развертывают SIEM по разным причинам. Одной организации нужен инструмент для централизованного мониторинга среды и повышения прозрачности; другая стремится улучшить качество расследований. Одной компании необходимо повысить качество обнаружения в разрозненной среде; другая ищет инструмент, который обеспечит соблюдение требований к отчетности, хранению данных и проведению аудитов.
Если компания не может определить свои базовые потребности, выбрать подходящее решение будет сложно. Выбор SIEM следует начинать с четкого определения рабочих задач, которые она должна решать, а не с абстрактного представления о ее возможностях.
Может ли она принимать необходимые данные?
Эффективность SIEM определяется качеством телеметрии, которую она собирает и обрабатывает. Поэтому важно правильно настроить параметры сбора данных в важнейших для вашей инфраструктуры системах – на рабочих местах, в системах идентификации, облачных службах, почтовых системах, приложениях, сетевой инфраструктуре и других критических контрольных точках.
Важен не просто охват, а прежде всего релевантность поступающих данных. Платформа не должна собирать все данные без разбора, ее задача – собирать только те данные, которые действительно необходимы для обнаружения и расследования инцидентов.
Обеспечивает ли она эффективную нормализацию и корреляцию данных?
Развертывание платформы для централизованного сбора данных – это лишь начало работы. Данные, собранные разными инструментами и системами, будут пригодны для поиска, сравнения и корреляции только тогда, когда SIEM приведет их к единому формату.
Некоторые платформы хорошо показывают себя на презентациях, но в реальных условиях оказываются менее удобными и эффективными. Если нормализация данных выполняется некачественно, сопоставление полей непоследовательно или логику корреляции между различными источниками сложно поддерживать в актуальном состоянии, SIEM становится просто огромным хранилищем данных и не несет практической пользы для аналитиков.
Повышает ли она качество расследований?
Эффективная SIEM повышает качество расследований, а не просто отображает оповещения на панели мониторинга.
Она позволяет выполнять поиск по историческим и текущим данным, прослеживать связи между пользователями и системами, анализировать хронологию событий, выявлять связанные события и оценивать масштаб инцидента без дополнительных манипуляций в ручном режиме.
Можно ли использовать SIEM для создания и настройки правил детектирования?
Эффективность корпоративной SIEM во многом зависит от точности обнаружений, с которыми она работает. Платформа должна поддерживать разработку действительно полезных правил, гибкие алгоритмы корреляции и непрерывную настройку механизмов обнаружения с учетом типичных для организации рисков и сценариев атак.
Предустановленные правила хороши для начала работы, но чаще всего требуют дальнейшей настройки. Оцените, помогает ли платформа адаптировать правила к особенностям корпоративной среды и поддерживать их актуальность.
Каких затрат потребует внедрение SIEM?
Реальные затраты на SIEM-систему не ограничиваются стоимостью лицензии. Вам придется выделить бюджет на сопутствующие процессы – загрузку и хранение данных, обновление правил, актуализацию парсера, оптимизацию производительности и оплату труда специалистов.
То есть внедрение SIEM – это не разовое вложение, а долгосрочный проект, влекущий операционные расходы. Стоимость лицензии может показаться привлекательной, но, если настройка платформы требует больших трудозатрат или возникают проблемы с масштабированием по мере роста объема данных, издержки существенно возрастают.
Она подходит для гибридных сред?
Как правило, предприятия не ограничиваются решениями одного поставщика. Они используют ранее внедренные инструменты, облачные сервисы, устаревшие системы и механизмы управления, которые частично дублируют друг друга, а также должны соблюдать региональные стандарты, применимые к их деятельности. SIEM должна учитывать все эти особенности.
Платформа должна эффективно взаимодействовать с разными механизмами – объединять данные из разных источников и повышать эффективность расследований в гетерогенных средах, не ограничиваясь кратким списком готовых интеграций.
На что обратить внимание в первую очередь?
Вот небольшой список самых важных вопросов, которые помогут выбрать эффективную систему.
- Может ли платформа принимать данные из ключевых для нашей среды источников?
- Обеспечивает ли она уровень нормализации и корреляции данных, необходимый для полноценного расследования?
- Сможем ли мы создавать, настраивать и актуализировать правила обнаружения?
- Способна ли платформа интегрироваться с существующими процессами SOC и позволяет ли она повысить их эффективность?
- Позволяет ли наш бюджет не только приобрести лицензию, но и обслуживать платформу в долгосрочной перспективе?
- Совместима ли платформа с нашими инструментами и средами?
Если вместо простого сравнения функций ответить на эти вопросы, оценка будет более информативной, поскольку такой подход связывает выбор продукта с реальными результатами его эксплуатации.
Классические ошибки организаций
При выборе платформы компании чаще всего допускают следующие ошибки.
- Покупка системы на основе демонстраций и заявленного функционала без учета реальных рабочих процессов и сценариев расследования.
- Недооценка трудозатрат на управление телеметрией, настройку платформы и оптимизацию поиска.
- Покупка платформы без учета долгосрочных операционных требований, которую команда не может эффективно эксплуатировать.
Основные выводы
Выбирайте SIEM, опираясь на реальные потребности компании. Вам нужна платформа, способная принимать релевантные данные, эффективно их нормализовать, повышать качество расследований, генерировать информативные оповещения и поддерживать продуктивность вашей команды в долгосрочной перспективе.
Вы готовы выбрать SIEM с учетом потребностей вашего SOC?
SIEM-система «Лаборатории Касперского» – эффективный инструмент для централизации данных о процессах безопасности, сопоставления подозрительной активности в разнородных средах и повышения качества расследований.
Источники и дополнительная информация:
