SIEM дегеніміз не және дербес деректері бар компанияға ол неге қажет
KEMEL.TECH · Жаңартылған:
SIEM — компанияның барлық жүйесінен оқиғалар журналдарын жинап, оларды ережелер бойынша салыстыратын және күдікті мінез-құлықты байқағанда алерттер жіберетін жүйе. Дербес деректерді сақтайтын компанияларға SIEM шабуылды уақытында байқап, деректер ағып кеткені туралы хабарлау мерзіміне — 1 жұмыс күніне — үлгеруге көмектеседі. Ірі операторларға заң киберқауіпсіздік оқиғаларының мониторингін талап етеді.
SIEM қалай жұмыс істейді
- Агенттер серверлерден, қосымшалардан және желілік жабдықтан журналдарды жинайды.
- Деректер нормаланады және ережелер бойынша салыстырылады (мысалы, Sigma форматы).
- Ереже іске қосылғанда алерт жасалады.
- Кезекші маман алертті растайды немесе қабылдамайды және инцидентті эскалациялайды.
- Басшылық оқиғалар мен ден қою туралы есептер алады.
Нені ескеру маңызды
- Журналдарда дербес деректер бар (IP-мекенжайлар, логиндер, аты-жөні, кейде ЖСН), сондықтан мұндай өрістерді жазбас бұрын жасыру керек.
- Ережелерді жүйелеріңізге бейімдеу керек, әйтпесе жалған іске қосылулар көп болады.
- Журналдарды жинау аз: алерттерді талдайтын адам қажет.
KEMEL GUARD SIEM
KEMEL-дің өз платформасы: агент (Fluent Bit және osquery) 443 портқа шығыс mTLS қосылымы арқылы жұмыс істейді, кіріс порттарын ашудың қажеті жоқ. Агент 1 күнде орнатылады. Пилот 14 күнге созылады: алдымен пентест, содан кейін көздерді қосу, ДД-ні жасыру және ережелерді бейімдеу, соңында — пилот есебі.
Жиі қойылатын сұрақтар
- Шағын компанияға SIEM қажет пе?
- Шағын операторлар үшін оқиғалар мониторингі заңмен талап етілмейді. Деректер мен жүйелер саны өскенде ол қажет болады; ірі операторларға заң киберқауіпсіздік оқиғаларының мониторингін талап етеді.
- Агент үшін порттарды ашу керек пе?
- Жоқ. Агент 443 портқа шығыс mTLS қосылымы арқылы жұмыс істейді, кіріс порттарын ашудың қажеті жоқ.