CAPÍTULO 1
O que é SIEM?
O software de gerenciamento de eventos e informações de segurança (SIEM) ajuda os profissionais de segurança de TI a proteger a sua rede empresarial contra ataques cibernéticos. Uma solução de SIEM reúne dados de log de todos os componentes de infraestrutura de uma organização: roteadores, switches, firewalls, servidores, computadores e dispositivos pessoais, aplicações, ambientes em nuvem e muito mais. Em seguida, analisa os dados e fornece informações aos administradores de segurança para uma mitigação eficaz dos ataques de segurança.
Como funciona o SIEM?
As soluções de SIEM recolhem logs, os registros de eventos criados por cada dispositivo e aplicação na rede, utilizando mecanismos sem agente e baseados em agente. Assim que os logs são agregados no software SIEM, são normalizados utilizando várias técnicas analíticas, incluindo correlação de logs e algoritmos de aprendizagem de máquina. Analisar e correlacionar os logs ajuda as soluções de SIEM a detectar e prevenir ameaças em uma organização.
Por que você precisa de uma solução de SIEM?
- Monitora todas as atividades da rede para ajudar a solucionar problemas com as operações de TI e garantir a segurança da rede.
- Evita violações de dados identificando indicadores de ameaça numa fase inicial.
- Descobre padrões irregulares de comportamento do usuário para capturar ataques sofisticados para que você possa iniciar rapidamente uma defesa.
- Emite alertas em tempo real para cada incidente de segurança detectado.
- Ajuda as empresas a cumprir os regulamentos de TI.
- Prioriza e resolve incidentes e ameaças de segurança.
- Realiza análises forenses e acelera a recuperação pós-incidente.
Detalhando o SIEM,
O SIEM inclui duas funções:
- Gerenciamento de informações de segurança (SIM): O SIM envolve a coleta de todas as
atividades de rede. Isso pode variar de dados de log coletados de servidores, firewalls,
controladores de domínio, roteadores, bancos de dados, netflow, até dados não
estruturados presentes na rede, como em e-mails. Os dados de log podem ser coletados
usando duas técnicas: coleta sem agente e baseada em agente.
- Coleta de logs baseada em agente: Esse método requer a implantação de um agente em cada dispositivo. O agente coleta os logs e, em seguida, analisa-os e os filtra antes de retornar os logs ao servidor do SIEM. Esta técnica é utilizada principalmente numa rede fechada e protegida, como uma zona desmilitarizada (DMZ) onde a comunicação é restrita.
- Coleta de logs sem agente: Este é o método mais frequentemente utilizado no qual os logs gerados pelos dispositivos são automaticamente recolhidos pelo servidor de SIEM utilizando um canal de comunicação seguro, como uma porta específica, utilizando protocolos protegidos.
- Gerenciamento de eventos de segurança (SEM): SEM refere-se à análise dos dados
recolhidos. Os dados são analisados utilizando várias técnicas, alertas são enviados e/ou é
iniciado um fluxo de trabalho para qualquer comportamento anormal.
O processo de análise inclui:- Correlação de logs :Todos os dados coletados são analisados e os logs são correlacionados entre si para detectar quaisquer padrões de ataque. Os dados de log também podem ser correlacionados com os feeds de ameaças para detectar indicadores de comprometimento (IoCs).
- Inteligência contra ameaças: As informações contextuais sobre ameaças são usadas para detectar qualquer intrusão, movimento lateral ou filtrações de dados que ocorrem na rede.
- Análise do comportamento do usuário baseada na aprendizagem de máquina: Os algoritmos de aprendizagem de máquina e as ferramentas analíticas podem formar uma linha de base dos padrões de comportamento do usuário. Se houver um desvio de comportamento, a solução de SIEM detectará a anomalia, levantará um alerta e evitará quaisquer ameaças à rede.
Os dados interpretados obtidos das técnicas acima são apresentados na forma de gráficos de barras ou gráficos circulares, o que torna a tomada de decisões mais rápida e fácil para os administradores de segurança.
Vamos considerar este cenário clássico de SIEM:
- Uma senha para obter acesso a uma rede foi digitada incorretamente cinco vezes dentro de um minuto. Isso é considerado um ataque de baixa prioridade, pois o usuário pode ter digitado erroneamente a senha errada várias vezes.
- Considere agora o caso em que a senha errada é introduzida 240 vezes dentro de um minuto. Isso pode ser um ataque de força bruta onde uma parte externa está tentando obter acesso à rede.
É aqui como um alerta é levantado.
O software de SIEM pode detectar tais ataques de força bruta, notificar administradores de segurança de TI e iniciar automaticamente um fluxo de trabalho para bloquear a conta e isolar a máquina em que o evento ocorreu.