SIEM Garajınızda Sıkışan Bir Egzersiz Makinesi Gibi Olduğunda

Randy Franklin Smith tarafından

Genel olarak güvenlik analitiğine ve dedektif kontrollerine büyük inancım var. En azından bazen, kötü adamlar önleyici kontrollerinizden kaçacaktır ve dedektif kontrollerinin izleme günlükleri ve modern bir SIEM'in tükettiği diğer tüm bilgiler aracılığıyla sağladığı kritik derinlemesine savunma katmanlarına ihtiyacınız vardır. Daha da iyisi, tehdit avcılığıyla saldırıya geçmek, pasif bir şekilde beklemek yerine savaşı düşmana götürme kavramına yaklaşır.

Ancak SIEM bir egzersiz makinesi gibidir. Hiç kimse onu düzenli ve yoğun bir şekilde kullanmıyorsa, dünyadaki en iyi egzersiz makinesi olabilir, ancak güçlenemezsiniz veya kilo veremezsiniz.

Ve egzersiz makinesi benzetmesi sizi yalnızca bir yere kadar götürür çünkü yüksek vasıflı uzmanlara olan ihtiyacı vurgulamaz. Belki daha iyi bir benzetme, bir uçak gemisindeki sayısız sensörü, pasif ve aktif izleme sistemlerini karşılaştırmak olabilir. Verileri yorumlayan ve tehdit durumunu görevdeki memura aktaran 7/24 uzmanlardan oluşan bir ekip yoksa, tüm bu teknolojinin pek bir faydası olmaz. Sadece bir sürü güzel yanıp sönen ışık ve ekran var.

Benzer şekilde, bir SIEM'in de bir SOC'ye ihtiyacı vardır. Ancak kaç küçük ve orta ölçekli işletme, SIEM'inizin size ne zaman söylediğini izlemek, analiz etmek ve araştırmak için gereken ekibe, kaynaklara ve becerilere gerçekten sahip? Benim gibiyseniz bu beceriye sahip olabilirsiniz ancak her gün birkaç dakika SIEM'e bakacak vaktiniz olmayabilir ve biz de 7/24 SOC çalıştıracak kadar büyük değiliz.

Belki de susturucuyu açarak SIEM'in sizi yalnızca en şüpheli olaylar konusunda uyarmasına ve her gün kontrol paneline göz atmasına izin veriyorsunuz. En azından bir şey olması durumunda günlükleri topluyorsunuz, değil mi?

Ancak bu yaklaşımın, hasarı sınırlamak için olayları zamanında yakalaması pek mümkün değil. Bu sinir bozucu çünkü küçük işletmeler de siber tehditlere karşı büyük işletmeler kadar risk altında, ancak güvenliği doğru yapmak için ölçek ekonomilerinden yararlanamıyoruz.

Veya yapabilir miyiz? KOBİ'ler için çözüm, büyük işletmelerinkiyle aynıdır - ölçek ekonomisinden yararlanın - ancak farklı olan, ölçeğe ulaşma şeklidir. Büyük işletmelerin ölçeği kendi bünyesindedir. Kuruluş, şirket içi bir SOC'nin finansmanını ve yürütülmesini haklı çıkaracak kadar büyüktür.

Ancak küçük işletmeler bu ölçek ekonomisini elde etmek için birleşebilir. Her ne kadar ilginç bir fikir olsa da, bir tür güvenlik işbirliğinden bahsetmiyoruz. Bahsettiğimiz şey bir hizmet olarak güvenlik izlemedir. Şirket içi SIEM uygulamak yerine veya buna ek olarak bazı kuruluşlar, SOC'nin avantajlarından yararlanmak için hizmet sağlayıcılarla birlikte çalışıyor. Neredeyse kurumsal jet kısmi sahiplik planına benziyor, ama daha iyi. İhtiyacınız olduğunda jet mevcut olabilir veya olmayabilir.

Ancak Hizmet Olarak SIEM ile şirket içi SIEM'in tüm gücüne, esnekliğine ve güvenliğine sahip olmaya devam edersiniz. Kuruluşunuz ve ağınız hakkındaki derin bilginiz doğrultusunda kendi izleme ve tehdit avcılığınızı yapmak için zamanınız ve kaynağınız olduğu sürece SIEM'i kullanabilir ve avantajlarından yararlanabilirsiniz. Ancak çabalarınıza ek olarak, SIEM'inizi izleyen, bakımını ve beslenmesini sağlayan 7/24 SOC operasyonuyla da destekleniyorsunuz. Başka projelerle, olaylarla ve soruşturmalarla meşgul olduğunuzda, kontrollerde kimsenin olmayacağı konusunda endişelenmenize gerek yok.

Bu önemlidir çünkü güvenlik izleme ve SIEM'iniz, küçük veya 1 kişilik güvenlik ekibinin üzerinde çalışması gereken diğer her şeyin yalnızca bir kısmıdır.

Örneğin Event Tracker bunu SIEM as a Service çözümü SIEMphonic'te sağlar. Teklifleri arasında şirket içinde veya bulutta uygulanan SIEM, izinsiz giriş tespiti, güvenlik açığı taraması, tehdit istihbaratı ve HoneyNet aldatma teknolojisi yer alıyor. Şirketin 7/24 istihbarat odaklı SOC'sindeki uzmanlar, uzaktan yönetim ve analiz sağlıyor.