Система управления событиями и информацией безопасности (SIEM)

Простыми словами

SIEM сводит журналы серверов, рабочих станций, сетевых устройств и средств защиты в одно место. Вместо ручного просмотра миллионов записей аналитик получает связанные события и контекст, по которым можно понять, требует ли ситуация реагирования.

Как применяется

SIEM используют как технологическую основу мониторинга в SOC: подключают источники, описывают правила нормализации и корреляции, контролируют полноту телеметрии, расследуют срабатывания и сохраняют доказательную хронологию событий.

Пример применения

После фишингового письма на рабочей станции запускается PowerShell, а затем начинается соединение с неизвестным адресом. SIEM связывает почтовое событие, запуск процесса и сетевой запрос в один инцидент и передаёт его аналитику.

Не путать с

  • SOARSOAR исполняет управляемые действия и плейбуки после получения сигнала
  • EDREDR фокусируется на телеметрии и реагировании на конечной точке

Как это работает

  1. ИсточникиСерверы, приложения, средства защиты и облачные сервисы передают события в SIEM.
  2. НормализацияПарсеры приводят разные форматы к общей модели и дополняют события контекстом актива.
  3. КорреляцияПравила и аналитика связывают признаки по времени, пользователю, узлу и сценарию атаки.
  4. ИнцидентАналитик проверяет собранный контекст и принимает решение о реагировании.

Продолжить изучение

Связанные термины

Частые вопросы

Что такое SIEM простыми словами?

SIEM централизует события безопасности, приводит их к общей структуре и связывает признаки одной атаки в контекст для аналитика.

Чем SIEM отличается от SOAR?

SOAR автоматизирует проверки и действия по плейбукам, а SIEM прежде всего собирает, хранит и коррелирует события.

Какие источники событий подключают к SIEM?

Обычно подключают ОС, приложения, сетевые устройства, каталоги пользователей, EDR, межсетевые экраны, облачные сервисы и другие источники телеметрии.

SIEM (Security Information and Event Management) — класс систем, которые централизованно собирают, нормализуют, хранят и анализируют события безопасности из разных источников. Корреляционные правила и аналитические модели помогают выделять из потока событий признаки атак и формировать инциденты для проверки.