SIEM (security information and event management)

Wat is een SIEM?

Een SIEM is het centrale geheugen van de beveiliging van een organisatie. Elk systeem houdt logbestanden bij: wie logt in, welk programma start, welke verbinding wordt geblokkeerd. Die logbestanden staan normaal verspreid over honderden apparaten. Een SIEM haalt ze op 1 plek samen, zodat je verbanden ziet die in een los logbestand onzichtbaar blijven.

Het Amerikaanse standaardisatie-instituut NIST omschrijft SIEM-software als een programma dat gecentraliseerde logging biedt voor veel verschillende soorten logbestanden (bron: NIST SP 800-92). Moderne SIEM-systemen doen meer dan opslaan. Ze zetten logbestanden om naar 1 formaat, koppelen ze aan threat intelligence en passen correlatieregels toe.

De naam is een samenvoeging van 2 oudere technieken. Security information management (SIM) ging over het langdurig bewaren en analyseren van logbestanden. Security event management (SEM) ging over het in realtime bewaken van gebeurtenissen. Een SIEM combineert beide.

Een SIEM is de belangrijkste tool van een SOC. Het NCSC noemt het SIEM als het systeem waarmee een SOC loginformatie uit diverse bronnen interpreteert. Het SIEM levert de meldingen, de analisten in het SOC beslissen wat er mee gebeurt.

Hoe werkt een SIEM?

Een SIEM werkt in 5 stappen die continu worden herhaald:

1. Verzamel logbestanden van bronnen zoals firewalls, servers, Active Directory, EDR op laptops en clouddiensten.
2. Normaliseer de gegevens, zodat een inlogpoging van een firewall en een van een server in hetzelfde formaat staan.
3. Koppel gebeurtenissen aan elkaar met correlatieregels. Een voorbeeld: 500 mislukte inlogpogingen op 1 account, gevolgd door een geslaagde inlog vanuit het buitenland.
4. Genereer een melding (alert) met een prioriteit, zodat een analist weet waar hij moet beginnen.
5. Bewaar de logbestanden, zodat je na een incident kunt terugzoeken wat er is gebeurd.

De kwaliteit van een SIEM hangt af van de regels en de bronnen. Te weinig bronnen betekent blinde vlekken. Te veel ruwe regels betekent zoveel valse meldingen dat echte aanvallen ertussen verdwijnen. Veel organisaties vullen een SIEM aan met SOAR-software, die vaste vervolgstappen automatisch uitvoert, of kiezen voor XDR, waarbij detectie en respons over endpoints, netwerk en cloud in 1 platform zitten.

Voorbeeld uit de praktijk

Bij de gemeente Hof van Twente deden aanvallers 50.000 tot 100.000 inlogpogingen per dag. Op 9 november 2020 lukte het inloggen op een beheeraccount met het wachtwoord Welkom2020. Daarna vernietigden de aanvallers 90 virtuele servers en alle back-ups (bron: NOS, 2021).

De onderzoekers concludeerden dat actief en centraal monitoren van beveiligingsmeldingen de activiteiten tijdig aan het licht had kunnen brengen (bron: Binnenlands Bestuur, 2021). Precies dat patroon, een enorme reeks mislukte inlogpogingen, is waar een SIEM met correlatieregels op kan waarschuwen. Het laat zien hoe een brute-force-aanval in logbestanden zichtbaar is, maar alleen als iemand kijkt.

SIEM in de praktijk van een security-professional

Met een SIEM werken vooral SOC-analisten, die de meldingen beoordelen en incidenten onderzoeken. SIEM-engineers of security-architecten bepalen welke bronnen worden aangesloten en schrijven en onderhouden de correlatieregels. Dat heet ook use-case-ontwikkeling.

Een security officer gebruikt de rapportages uit het SIEM om aan te tonen dat de organisatie logbestanden bewaart en incidenten opvolgt, bijvoorbeeld bij een audit. Wie met een SIEM wil werken, heeft kennis nodig van besturingssystemen, netwerken en aanvalstechnieken. Een overzicht van opleidingen staat bij cybersecurity-opleidingen.

Veelgestelde vragen

Wat doet een SIEM?

Een SIEM verzamelt logbestanden uit veel systemen op 1 centrale plek, zet ze om naar 1 formaat en zoekt met regels naar patronen die op een aanval wijzen. Bij zo’n patroon geeft het SIEM een melding. Daarnaast bewaart het de logbestanden, zodat je na een incident kunt nagaan wat er is gebeurd.

Waar staat de afkorting SIEM voor?

SIEM staat voor security information and event management. Het is een combinatie van security information management (SIM), het bewaren en analyseren van logbestanden, en security event management (SEM), het in realtime bewaken van gebeurtenissen. De afkorting wordt in het Nederlands meestal als 1 woord uitgesproken.

Wat is het verschil tussen SOC en SIEM?

Een SIEM is software, een SOC is een team. Het SIEM verzamelt en koppelt logbestanden en geeft meldingen. De analisten in het Security Operations Center beoordelen die meldingen, onderzoeken incidenten en beslissen over vervolgstappen. Een SOC gebruikt meestal een SIEM als centrale tool, maar een SIEM zonder mensen die meldingen opvolgen, beschermt weinig.

Wat zijn SIEM-oplossingen?

SIEM-oplossingen zijn softwarepakketten of clouddiensten die de functies van een SIEM leveren: logbestanden verzamelen, correleren, melden en bewaren. Er zijn commerciële pakketten en open-sourcevarianten. Een organisatie kan een SIEM zelf beheren of het laten beheren door een externe partij, vaak als onderdeel van een uitbesteed SOC.