Vad är SIEM (Security In­for­ma­tion & Event Ma­na­ge­ment)?

Företag står inför både kända och okända cyberhot på grund av ökad di­gi­ta­li­se­ring, hy­brid­ar­bets­mo­del­ler och en mängd olika slu­tan­ord­ning­ar. Därför är sä­ker­hetskon­cept som SIEM (Security In­for­ma­tion & Event Ma­na­ge­ment) viktigare än någonsin. Genom att logga, analysera och bearbeta system- och nät­verks­da­ta kan sä­ker­hets­hot snabbt iden­ti­fie­ras, spåras och mildras.

Vad är SIEM?

För­kort­ning­en SIEM står för Security In­for­ma­tion & Event Ma­na­ge­ment, vilket ger företag ökad trans­pa­rens och kontroll över sina egna data. Ett stan­dar­di­se­rat säkerhets- och skydds­kon­cept gör det möjligt att iden­ti­fi­e­ra miss­tänk­ta sä­ker­hets­in­ci­den­ter, at­tackt­ren­der och hot­möns­ter i ett tidigt skede. Detta möj­lig­görs av verktyg som loggar och ana­ly­se­rar en mängd olika händelse- och pro­cess­da­ta över alla lager i företaget, från slu­tan­ord­ning­ar via brand­väg­gar och IPS (Intrusion Pre­ven­tion Systems) till nätverks-, moln- och ser­ver­ni­vå­er.

SIEM in­te­gre­rar både SIM (Security In­for­ma­tion Ma­na­ge­ment) och SEM (Security Event Ma­na­ge­ment) för att bedöma sä­ker­hets­in­for­ma­tion och in­ci­den­ter kon­tex­tu­ellt och kor­re­la­tivt i realtid, skapa varningar och utlösa sä­ker­hets­åt­gär­der. Detta till­vä­ga­gångs­sätt möjliggör tidig upptäckt och be­gräns­ning av po­ten­ti­el­la sår­bar­he­ter och sä­ker­hets­ö­ver­trä­del­ser, samt snabbt för­hind­ran­de av even­tu­el­la at­tack­för­sök. Konceptet SIEM eta­ble­ra­des 2005 av Gartner. Vä­sent­li­ga delar av dagens SIEM-lösningar in­klu­de­rar UBA (User Behavior Analytics), UEBA (User and Entity Behavior Analytics) och SOAR (Security Or­chestra­tion, Au­to­ma­tion, and Response).

Varför är sä­ker­hets­in­for­ma­tion och hän­del­se­han­te­ring viktigt?

Idag består ett företags IT-in­fra­struk­tur inte längre bara av en server och några få slu­tan­ord­ning­ar. Även me­del­sto­ra företag använder mer eller mindre komplexa fö­re­tags­nät­verk som består av ett stort antal in­ter­ne­tan­slut­na slu­tan­ord­ning­ar, egen pro­gram­va­ru­mil­jö och flera servrar och moln­tjäns­ter. Till detta kommer nya ar­bets­mo­del­ler som di­stans­ar­be­te eller Bring Your Own Device (BYOD).

Ju mer komplex IT-in­fra­struk­tu­ren är, desto fler sår­bar­he­ter kan uppstå om cy­ber­sä­ker­he­ten är otill­räck­lig. Allt fler företag förlitar sig därför på ett hel­hets­skydd mot ransom­wa­re, spyware och scareware samt mot nya former av cy­be­r­at­tac­ker och zero-day-exploits.

Sä­ker­hets­lös­ning­ar som SIEM blir allt viktigare för företag, och inte bara på grund av akuta hot. Stränga data­skydds­krav enligt GDPR eller cer­ti­fi­e­ring­ar som BASE II, ISO eller SOX kräver nu till och med ett koncept för data- och system­sä­ker­het. Detta kan ofta endast uppnås genom SIEM eller liknande stra­te­gi­er som EDR och XDR.

Genom att samla, utvärdera och koppla samman sä­ker­hets­re­le­van­ta logg- och rap­port­da­ta på en central plattform gör SIEM det möjligt att analysera data från alla ap­pli­ka­tio­ner och nät­verks­ni­vå­er på ett sä­ker­hets­o­ri­en­te­rat sätt. Ju tidigare du upptäcker hot eller sä­ker­hetsläc­kor på detta sätt, desto snabbare kan du minska riskerna för dina af­färs­pro­ces­ser och skydda fö­re­ta­gets data**. SIEM erbjuder därför en betydande ef­fek­ti­vi­tets­ök­ning när det gäller ef­ter­lev­nad och re­al­tids­skydd mot hot som ransom­wa­re, malware eller datastöld.

Hur fungerar SIEM?

Termen “SIEM” in­tro­du­ce­ra­des 2005 av Amrit Williams och Mark Nicolett från Gartner. Enligt den of­fi­ci­el­la de­fi­ni­tio­nen från National Institute of Standards and Te­ch­no­lo­gy är SIEM en ap­pli­ka­tion som samlar in sä­ker­hets­da­ta från olika delar av ett in­for­ma­tions­sy­stem och visar den på en central in­stru­ment­pa­nel på ett or­ga­ni­se­rat och hand­lings­in­rik­tat sätt. Detta sam­man­fat­tar redan funk­tio­na­li­te­ten, eftersom SIEM, till skillnad från en brandvägg som skyddar mot akuta cyberhot, bygger på hållbar, proaktiv da­tain­sam­ling och analys som också kan avslöja dolda attacker eller hott­ren­der.

Ett SIEM-system kan im­ple­men­te­ras lokalt, som en moln­lös­ning eller som en hy­brid­va­ri­ant med lokala och moln­ba­se­ra­de kom­po­nen­ter. Processen från da­tain­sam­ling till sä­ker­hets­var­ning­ar består av följande fyra steg:

Steg 1: Samla in data från flera källor i systemet

SIEM-lösningen re­gi­stre­rar och samlar in data från olika nivåer, lager och kom­po­nen­ter i din IT-in­fra­struk­tur. Detta in­klu­de­rar servrar, routrar, brand­väg­gar, vi­rus­pro­gram, switchar, IP-adresser och IDS samt slu­ten­he­ter som är in­te­gre­ra­de med endpoint security eller XDR (Extended Detection and Response). För detta ändamål används anslutna loggnings-, rap­por­te­rings- och sä­ker­hets­sy­stem.

Steg 2: Sam­man­ställ­ning av insamlade data

Insamlade data sam­man­fat­tas på ett tydligt och över­skåd­ligt sätt i det centrala an­vän­dar­gräns­snit­tet. Genom att samla in och or­ga­ni­se­ra data via en in­stru­ment­pa­nel eli­mi­ne­ras behovet av tidskrä­van­de analyser av olika loggar och rapporter från enskilda ap­pli­ka­tio­ner.

Steg 3: Analysera och korrelera ag­gre­ge­ra­de data

Ap­pli­ka­tio­nen ana­ly­se­rar de data som har samlats in och sam­man­fat­tats för kända virus- och skadlig kod­sig­na­tu­rer, miss­tänk­ta in­ci­den­ter såsom in­logg­ning­ar från VPN-nätverk eller felaktiga in­logg­nings­upp­gif­ter. Den markerar också onormal an­vänd­ning, tvi­vel­ak­ti­ga bilagor eller andra upp­se­en­de­väc­kan­de ak­ti­vi­te­ter som har något med säkerhet att göra. Genom att länka, or­ga­ni­se­ra, korrelera och klas­si­fi­ce­ra data un­der­lät­tar ap­pli­ka­tio­nen snabb spårning och isolering av in­filt­ra­tions­vä­gar, vilket gör det möjligt att mildra eller till och med ne­ut­ra­li­se­ra hot. Genom att tilldela sä­ker­hets­ni­vå­er hanterar den dessutom snabbt både uppenbara och dolda attacker, samtidigt som ofarliga av­vi­kel­ser utesluts.

Steg 4: Upptäck hot, sår­bar­he­ter eller sä­ker­hets­ö­ver­trä­del­ser

Om ett hot upptäcks möjliggör au­to­ma­tis­ka varningar snabbare re­spons­ti­der och omedelbar ne­ut­ra­li­se­ring av hotet. Istället för att söka efter källan till faran eller av­vi­kel­ser­na kan du snabbt lo­ka­li­se­ra dem genom varningen och, om nöd­vän­digt, isolera dem i karantän. Dessutom är det möjligt att re­kon­stru­e­ra tidigare hot så att sä­ker­hetsru­ti­ner­na kan förfinas.

I kom­bi­na­tion med en XDR-lösning med in­te­gre­rad AI kan för­svars­me­ka­nis­mer som karantän eller bloc­ke­ring av slu­ten­he­ter eller IP-adresser im­ple­men­te­ras särskilt snabbt med hjälp av för­de­fi­ni­e­ra­de, au­to­ma­ti­se­ra­de ar­bets­flö­den. Re­al­tids­flö­den med ho­tin­for­ma­tion, som kon­ti­nu­er­ligt matar in upp­da­te­ra­de sig­na­tu­rer och sä­ker­hets­da­ta, gör det också möjligt att upptäcka nya typer av attacker och hot i ett tidigt skede.

En översikt över de vik­ti­gas­te SIEM-elementen

Olika sam­ord­na­de kom­po­nen­ter används för att sä­ker­stäl­la full­stän­dig da­tain­sam­ling och analys som en del av en SIEM-lösning. Dessa in­klu­de­rar:

För­de­lar­na med sä­ker­hets­in­for­ma­tions- och hän­del­se­han­te­ring (SIEM)

På grund av de ökande cy­ber­ris­ker­na för företag räcker det oftast inte längre med enkla brand­väg­gar eller an­ti­vi­rus­pro­gram för att skydda nätverk och system. Särskilt när det gäller hy­brid­struk­tu­rer med mul­ticlouds och hy­brid­moln krävs so­fisti­ke­ra­de lösningar som EDR, XDR och SIEM eller, helst, en kom­bi­na­tion av två eller flera tjänster. Det är det enda sättet att säkert använda slu­tan­ord­ning­ar och moln­tjäns­ter och upptäcka hot i ett tidigt skede.

För­de­lar­na med SIEM in­klu­de­rar:

Re­al­tids­de­tek­te­ring av hot

Tack vare den ho­lis­tis­ka ap­pro­achen i form av syste­mom­fat­tan­de da­tain­sam­ling och ut­vär­de­ring kan hot snabbt iden­ti­fie­ras och fö­re­byg­gas. Tack vare den minskade ge­nom­snitt­li­ga tiden för upptäckt (MTTD) och ge­nom­snitt­li­ga tiden för respons (MTTR) kan känsliga data och af­fär­skri­tis­ka processer skyddas på ett till­för­lit­ligt sätt.

Ef­ter­lev­nad av krav på re­gel­ef­ter­lev­nad och dataskydd

SIEM-system sä­ker­stäl­ler en IT-in­fra­struk­tur som uppfyller kraven på re­gel­ef­ter­lev­nad genom de­tal­je­rad loggning och hotanalys. Denna in­fra­struk­tur uppfyller alla vä­sent­li­ga säkerhets- och rap­por­te­rings­stan­dar­der som krävs för att lagra data på ett säkert sätt och behandla dem på ett re­vi­sions­kom­pa­ti­belt sätt.

Tids- och kost­nads­be­spa­ran­de sä­ker­hetskon­cept

Genom att visa, vi­su­a­li­se­ra, analysera och tolka all sä­ker­hets­re­le­vant data centralt och tydligt i ett an­vän­dar­gräns­snitt ökar SIEM ef­fek­ti­vi­te­ten i din IT-säkerhet. Detta minskar den tid och de kostnader som annars är för­knip­pa­de med kon­ven­tio­nel­la manuella sä­ker­hets­åt­gär­der. Specifikt påskyndar an­vänd­ning­en av au­to­ma­ti­se­rad och, i vissa system, AI-för­bätt­rad da­taa­na­lys och kor­re­la­tion fö­re­byg­gan­det av hot. Höga kostnader för att reparera in­fek­te­ra­de system eller ta bort skadlig pro­gram­va­ra kan också undvikas med fö­re­byg­gan­de SIEM-lösningar.

Möj­lig­he­ten att använda SIEM som SaaS (Software-as-a-Service) eller via Managed Security Services gör det även möjligt för mindre företag med be­grän­sa­de resurser eller utan egen IT-säkerhet att på ett till­för­lit­ligt sätt skydda sitt fö­re­tags­nät­verk.

Au­to­ma­ti­se­ring med ar­ti­fi­ci­ell in­tel­li­gens och ma­ski­nin­lär­ning

SIEM-system möjliggör en ännu högre grad av au­to­ma­ti­se­ring och in­tel­li­gent hot­fö­re­byg­gan­de genom ar­ti­fi­ci­ell in­tel­li­gens och ma­ski­nin­lär­ning. Du kan till exempel också använda SIEM-lösningar i SOAR-system (Security Or­chestra­tion, Au­to­ma­tion and Response) eller i kom­bi­na­tion med en befintlig endpoint security- eller XDR-lösning.