בעמוד הזה
מה זה SIEM?
SIEM (ראשי תיבות של Security Information and Event Management) משלבת שני תפקידים: ניהול מידע אבטחה, כלומר איסוף ושמירה של לוגים לאורך זמן, וניהול אירועי אבטחה, כלומר זיהוי בזמן אמת של דפוסים חשודים. במקום לבדוק כל מערכת בנפרד, ה-SIEM מציגה תמונה אחת של מה שקורה בשרתים, בענן, ברשת ובעמדות הקצה.
דוגמה מהשטח
חמישה ניסיונות כושלים, ואז הצלחה. בתוך עשר דקות נרשמים חמישה ניסיונות התחברות כושלים לשרת הקבצים, ומיד אחריהם התחברות מוצלחת מאותה כתובת והורדה של כמות חריגה של קבצים. כל אירוע לבד נראה שגרתי. חוק ההצלבה ב-SIEM מחבר אותם לאירוע אחד ומתריע לצוות ה-SOC, שחוסם את החשבון לפני שהמידע יוצא מהארגון.
SIEM או SOC?
| SIEM | SOC | |
|---|---|---|
| מה זה | מערכת (תוכנה) | צוות ותהליכים |
| תפקיד | איסוף, הצלבה והתראה | חקירה, החלטה ותגובה |
| אחד בלי השני | התראות שאף אחד לא בודק | צוות בלי תמונה מלאה |
רכיבים מרכזיים
איך זה עובד
- חיבור מקורות
הגדרת המערכות ששולחות לוגים ל-SIEM: שרתים, ענן, רשת ועמדות קצה.
- נרמול ואחסון
הלוגים מומרים למבנה אחיד ונשמרים לתקופה שהרגולציה דורשת.
- הצלבה וזיהוי
חוקים ומודלים מחפשים דפוסים חשודים בין אירועים ממערכות שונות.
- התראה ודיווח
התראה מתועדפת לצוות ה-SOC, ודוחות להנהלה ולרגולטור.
שאלות נפוצות
מה ההבדל בין SIEM ל-SOC?
SIEM היא המערכת שאוספת את הלוגים ומתריעה. SOC הוא הצוות שמפעיל אותה, חוקר את ההתראות ומגיב להן. בדרך כלל צריך את שניהם.
האם SIEM מתאימה לארגון בינוני?
כן, בעיקר כשירות מנוהל. כך הארגון מקבל ניטור והצלבה בלי להקים ולתחזק את המערכת בעצמו.
כמה זמן שומרים לוגים ב-SIEM?
זה תלוי ברגולציה ובמדיניות הארגון. בישראל, תקנות הגנת הפרטיות (אבטחת מידע) מחייבות במאגרים מסוימים לשמור תיעוד גישה לתקופה של 24 חודשים לפחות.