Hvorfor er central logindsamling afgørende?
Hvert system logger for sig selv: Windows skriver hændelseslogs, firewallen sin trafik, Microsoft 365 sine logins. Hver log er isoleret set støj. Værdien opstår, når de samles: et fejlet login i M365, efterfulgt af et succesfuldt login fra et nyt land, efterfulgt af en regel der videresender al mail eksternt — hver hændelse er harmløs alene, men sammen er det signaturen på en kompromitteret konto. Den korrelation er præcis, hvad et SIEM laver, døgnet rundt og i realtid.
Dertil kommer det forsvarsmæssige: når uheldet er ude, er central, manipulationssikret log jeres eneste mulighed for at rekonstruere, hvad der skete, hvor angriberen kom ind, og hvilke data der blev rørt. Uden logs er en hændelsesundersøgelse gætværk — og jeres 72-timers rapport til myndighederne bliver tilsvarende tynd.
SIEM og compliance hænger sammen
NIS2, DORA, GDPR’s artikel 32 og ISO 27001 peger alle på samme behov: logning, overvågning og evnen til at opdage hændelser. Et velkonfigureret SIEM er den tekniske rygrad, der gør de krav opfyldelige — og dokumenterbare. Tilsynsmyndigheder spørger ikke “har I sikkerhed?”, de spørger “vis mig, at I opdagede og reagerede”.
Faldgruben: SIEM uden drift
Et SIEM er ikke et produkt, man installerer og glemmer. Uden løbende tuning drukner I i falske alarmer; uden analytikere er alarmerne ligegyldige; uden vedligehold af datakilder opstår blinde vinkler. Det er grunden til, at mange SIEM-projekter fejler internt — og til at managed SIEM, hvor en specialist driver platformen som en del af en SOC-funktion, oftest er den realistiske model for SMV’er.
Hos Auroa bygger vi på Wazuh — en moden open source-platform, der fjerner de licenspriser, som historisk holdt SIEM uden for SMV’ers rækkevidde, uden at gå på kompromis med kapabiliteten.