ما المقصود بإدارة معلومات الأمان والأحداث (SIEM)؟

مع نمو الشبكات في التسعينات والمزيد من الشركات المتصلة بالإنترنت، أصبحت جدر الحماية أقل فعالية في اكتشاف التهديدات وحظرها. يحتاج محترفو الأمان إلى طريقة أفضل لجمع التنبيهات وربطها وتحديد أولوياتها من أنظمة مختلفة عبر الشبكة. لمعالجة هذه الحاجة، جمع موردو الأمان إدارة معلومات الأمان (SIM) وإدارة أحداث الأمان (SEM) لإنشاء حلول SIEM.

الأيام الأولى من SIEM
ظهرت التكرارات المبكرة لحلول SIEM في بداية الألفينات، مع التركيز بشكل أساسي على إدارة السجلات وإعداد تقارير التوافق. قامت هذه الحلول بتركز التنبيهات من خلال الشبكة، مما يوفر الوقت القيم ل SOCs، ولكن للأسف، لم تكن قابلة للتوسعة. تعتمد فرق الأمان بشكل كبير على العمليات اليدوية، مما يجعل من الصعب ربط البيانات بشكل فعال.

التطور والتطورات
مع تحول المخاطر عبر الإنترنت إلى أكثر تعقيدا، تم تطوير حلول SIEM لتتضمن المراقبة في الوقت الحقيقي والتحليلات المتقدمة وإمكانيات التعلم الآلي. سمحت هذه الوردية للمؤسسات بالكشف عن الحالات غير الطبيعية والاستجابة للتهديدات بشكل أسرع من أي وقت مضى.

الحالة الحالية لتكنولوجيا SIEM
اليوم، تتضمن حلول SIEM  الذكاء الاصطناعي الأمان عبر الإنترنت والتعلم الآلي لتحسين إمكاناتها التحليلية. لا توفر الأنظمة الأساسية الحديثة ل SIEM مراقبة الأمان فحسب، بل تتكامل أيضا مع حلول تنسيق الأمان والأتمتة والاستجابة (SOAR) لمساعدة الفرق على تنفيذ مهام معينة تلقائيا وتنسيق استجابتها للحوادث.

يتم إنشاء حل SIEM فعال على العديد من المكونات الأساسية التي تعمل معا لتوفير مراقبة أمان شاملة.

إدارة السجل
تقوم أنظمة SIEM بجمع السجلات وتحليلها من جميع أنحاء المؤسسة، بما في ذلك الخوادم وأجهزة الشبكة وجدار الحماية وحلول الأمان الأخرى وتطبيقات السحابة. الهدف من جمع البيانات هذا هو الكشف عن حالات خارجة عن المألوف تشير إلى وجود تهديد محتمل. تقوم العديد من حلول SIEM أيضا موجز المعلومات الذكية للمخاطر، مما يسمح لفرق الأمان بتحديد المخاطر الإلكترونية الناشئة وحظرها.

ربط الأحداث ببعضها
حلول SIEM فعالة لأنها تجمع البيانات من أنظمة متعددة عبر مؤسسة. فهي تحلل تلك البيانات وتبحث عن أنماط عبر كيانات مختلفة. على سبيل المثال، إذا كان هناك دليل على وجود حساب مخترق وكذلك حركة مرور غير معتادة على الشبكة، فقد تحدد SIEM أن هذين الحدثين مرتبطان وأنشئ تنبيها لفرق الأمان لإجراء مزيد من التحقيق. يساعد ارتباط الحدث في اكتشاف النشاط الذي يبدو غير ضار من تلقاء نفسه، ولكن عند دمجه مع نشاط آخر، يمكن أن يكون مؤشرا للاختراق.

الاستجابة والمراقبة للحوادث
للكشف عن التهديدات مبكرا وتقليل التلف، تراقب حلول SIEM الأنظمة الرقمية والأنظمة المحلية بشكل مستمر. يتم عرض التحليل في لوحة معلومات مركزية، وسيقوم حل SIEM أيضا بإرسال تنبيهات إلى محللي الأمان استنادا إلى قواعد معرفة مسبقاً.

تتضمن العديد من حلول SIEM أيضا قدرات الاستجابة التلقائية. في بعض الحالات، يمكن لـ SIEM اتخاذ إجراء تلقائيا استنادا إلى القواعد المعرفة بواسطة SOC. على سبيل المثال، إذا اكتشف حل SIEM محتمل البرامج الضارة، فقد يستغرق الأمر خطوات لعزل النظام المصاب استنادا إلى القواعد المعرفة مسبقا. يساعد التنفيذ التلقائي في تسريع الاستجابة ويحرر محللي الأمان للتركيز على المهام والمشكلات الأكثر تعقيدا.

مفتاح نظام SIEM الفعال هو البيانات. تجمع حلول SIEM باستمرار البيانات من مصادر مختلفة، بما في ذلك جدر الحماية وتطبيقات السحابة وأنظمة الأمان ونقاط النهاية. بعد ذلك، تتم تسوية البيانات المجمعة إلى تنسيقات قياسية ويتم تحليلها لاستخراج المعلومات ذات الصلة. باستخدام الخوارزميات وقواعد الارتباط، يمكن لـ SIEM تحديد الأنماط والأشياء غير الطبيعية في البيانات التي تمت تسويتها والتهديدات المحتملة على السطح. تساعد لوحة المعلومات المركزية والتنبيهات محللي الأمان على تحديد الأحداث التي تتطلب مزيدا من التحقيق.

للحصول على أقصى استفادة من حل SIEM، من المهم التخطيط لتنفيذك بعناية.

 

1. حدد بوضوح ما تريد تحقيقه باستخدام SIEM، مثل إعداد تقارير التوافق أو الكشف عن المخاطر أو الاستجابة للحوادث وتطوير حالات استخدام معينة مخصصة لاحتياجات مؤسستك.
2. قم بتقييم حلول SIEM المختلفة استنادا إلى متطلباتك وقابلية التوسع والموازنة ومدى تكاملها مع الأدوات والتقنيات الموجودة.
3. تحديد مصادر البيانات وتحديد أولوياتها لتغذية SIEM وإعداد الأذونات اللازمة لمصادر البيانات هذه. من الأفضل البدء بجمع البيانات على نطاق واسع وتحسينها تدريجيا استنادا إلى ما هو أكثر ملاءمة.
4. توحيد تنسيقات البيانات من مصادر مختلفة لتسهيل تحليلها.
5. إنشاء نهج استبقاء السجل والأمان استنادا إلى المتطلبات التنظيمية وحاجات المؤسسة.
6. تطوير مهام سير عمل واضحة للكشف عن الحوادث وتحليلها والاستجابة لها.
7. حدد الإجراءات التي تريد تنفيذها تلقائيا وحدد قواعد وخطوات واضحة.
8. توفير تدريب مستمر للموظفين حول كيفية استخدام حل SIEM بفعالية وفهم مخرجاته.
9. مراجعة القواعد والتنبيهات ولوحات المعلومات وضبطها بشكل منتظم استنادا إلى التهديدات المتطورة والتغييرات المؤسسية.

 

تستخدم فرق الأمان حلول SIEM لمجموعة كبيرة من التطبيقات.

الكشف عن المخاطر والاستجابة لها
حالة الاستخدام الأكثر شيوعا لحل SIEM هي الكشف عن المخاطر والاستجابة لها. يمكن أن يساعد SIEM فريق الأمان في الكشف عن بعض التهديدات الأكثر تعقيدا والاستجابة لها، مثل التهديدات الداخليةوالتهديدات الثابتة المتقدمة والهجمات متعددة المجالات.

إدارة التوافق
غالبا ما تستخدم SOCs حلاً لـ SIEM لمساعدتها على البقاء متوافقة مع اللوائح الإقليمية مثل قانون نقل التأمين الصحي ومسؤوليتها (HIPAA) في الولايات المتحدة القانون العام لحماية البيانات (GDPR) في الاتحاد الأوروبي. نظرا لأن نظام SIEM يجمع البيانات تلقائيا من جميع أنحاء المؤسسة، فقد يساعد الفرق في تحديد المشاكل بسرعة. كما يمكنهم أيضا استخدام SIEM لإنشاء تقارير التوافق المصممة وفقا للوائح معينة.

محللو الطب الشرعي
للاستجابة الفعالة لحادث أمني، تحتاج SOCs إلى فهم النطاق الكامل للهجوم، بما في ذلك الأسباب والأساليب. يوفر حل SIEM إعداد التقارير والتحليل لمساعدة الفرق على تحديد مسار الهجوم وتحديد جميع الأصول المتأثرة.

لتحليل كمية متزايدة من البيانات بشكل فعال، تتضمن العديد من حلول SIEM الذكاء الاصطناعي والتعلم الآلي سلوك المستخدم وتحليلات الكيان (UEBA) لتحسين قدرات الكشف عن المخاطر وتقليل النتائج الإيجابية الخاطئة. سيستمر التقدم في تقنية الذكاء الاصطناعي تحليلات الأمان عبر الإنترنت في السماح لحلول SIEM بتحسين التحليل المعقد ودعم المزيد من أنواع البيانات.

أحد أكبر تحديات الأمان التي تواجهها المؤسسات هو إدارة حلول أمان متعددة ومتباعدة، كل ذلك باستخدام الواجهات والأدوات ونتائج التحليلات الخاصة بها. تسهل حلول SIEM القوية الأمان من خلال تضمين أدوات أخرى مثل الكشف والاستجابة الموسعة (XDR). حلول XDR - استكشف الأمان الشامل باستخدام حلول الكشف والاستجابة الموسعة من Microsoft.حلول XDR مراقبة نقاط النهاية والمستخدمين والتطبيقات والسحابات وحمايتها. سيؤدي دمج كل هذه الحلول في نظام SecOps أساسي موحد واحد إلى توفير إدارة أمان شاملة للفرق في مكان واحد.

عند اختيار حل SIEM، من المهم مراعاة إمكانية التوسع وسهولة الاستخدام وإمكانيات التكامل. تتضمن العديد من حلول SIEM، مثل Microsoft Sentinel، موصلات بيانات مضمنة، حتى تتمكن المؤسسات من تكاملها مع تطبيقاتها وخدماتها الحالية. يتم أيضا تضمين Microsoft Sentinel في نظام SecOps الأساسي الموحد الذي يجمع بين XDR. إمكانات SOAR وSIEM.