Hvorfor logs skal samles ét sted
Hvert system logger for sig selv. Windows skriver hændelseslogs, firewallen skriver sin trafik, Microsoft 365 skriver sine logins. Hver log er isoleret set støj.
Værdien opstår, når de bliver samlet. Et fejlet login i M365. Så et vellykket login fra et nyt land. Så en regel, der videresender al mail eksternt. Hver hændelse er harmløs alene. Sammen er de signaturen på en kapret konto. Den korrelation er præcis, hvad et SIEM laver, døgnet rundt og i realtid.
Og så er der det, der først betyder noget bagefter. Når uheldet er ude, er en central og manipulationssikret log jeres eneste mulighed for at rekonstruere, hvad der skete, hvor angriberen kom ind, og hvilke data der blev rørt. Uden logs er en hændelsesundersøgelse gætværk, og jeres rapport til myndighederne inden for 72 timer bliver tilsvarende tynd.
SIEM og compliance
NIS2, DORA, GDPR’s artikel 32 og ISO 27001 peger alle på det samme behov. Logning, overvågning og evnen til at opdage hændelser.
Et velkonfigureret SIEM er den tekniske rygrad, der gør kravene mulige at opfylde og til at dokumentere. Tilsynsmyndigheder spørger sjældent, om I har sikkerhed. De beder jer vise, at I opdagede noget og reagerede på det.
Faldgruben er driften
Et SIEM er ikke et produkt, man installerer og glemmer. Uden løbende tuning drukner I i falske alarmer. Uden analytikere er alarmerne ligegyldige. Uden vedligehold af datakilderne opstår der blinde vinkler.
Det er grunden til, at mange SIEM-projekter fejler internt, og til at managed SIEM, hvor en specialist driver platformen som en del af en SOC-funktion, som regel er den realistiske model for en SMV.
Hos Auroa bygger vi på en moden open source-platform. Det fjerner de licenspriser, der historisk har holdt SIEM uden for rækkevidde for mindre virksomheder, uden at gå på kompromis med, hvad platformen kan. Vi driver den som systemovervågning og leverer den som SIEM & XDR.