SIEM: hvad det er, hvem der kan det, og hvad de tjener

SIEM står for Security Information and Event Management. Som færdighed handler SIEM om at bruge sikkerhedsdata til at opdage, undersøge og følge op på mistænkelig aktivitet.

En, der kan SIEM, kan få logs og sikkerhedshændelser fra blandt andet identiteter, endpoints, servere, netværk, cloudmiljøer og applikationer ind i en fælles analyseplatform. Vedkommende forstår ikke kun, hvordan data tilsluttes. Man kan også vurdere, hvilke data der faktisk er nødvendige for en bestemt detektion.

En vigtig del af færdigheden er at forstå logdata. Det betyder at kunne finde relevante felter, tidsstempler, brugere, IP-adresser, processer, enheder og hændelsestyper. Personen kan også arbejde med parsing, normalisering og berigelse, så data fra forskellige systemer kan analyseres samlet.

SIEM-færdighed viser sig især i evnen til at skrive og tilpasse søgninger og detektioner. I Microsoft Sentinel bruges blandt andet KQL. I Splunk bruges SPL. En dygtig person kan omsætte et angrebsscenarie til en søgning eller detektionsregel og derefter teste, om reglen faktisk finder den adfærd, man ønsker at opdage.

Det kræver også tuning. En regel, der giver mange irrelevante alarmer, hjælper sjældent et SOC. Derfor kan en erfaren person, der arbejder med SIEM, analysere false positives, justere betingelser, tærskler og kontekst samt vurdere risikoen ved ændringerne.

Færdigheden omfatter desuden undersøgelse af hændelser. Personen kan gå fra en alarm til de underliggende events, samle en tidslinje og undersøge relaterede brugere, enheder, processer og netværksforbindelser. Målet er at afgøre, om der er tale om normal aktivitet, en fejlkonfiguration eller et reelt sikkerhedsbrud.

SIEM overlapper derfor med detection engineering, threat hunting og incident response. MITRE ATT&CK bruges ofte til at beskrive den angriberadfærd, som detektionerne skal kunne finde.

På et mere teknisk niveau kan SIEM-færdigheden også omfatte datakilder, log pipelines, adgangsstyring, datakvalitet, automatisering og integrationer til eksempelvis EDR, identitetsplatforme og SOAR. Det er ikke nødvendigt at være ekspert i alle dele for at kunne SIEM, men man skal forstå sammenhængen mellem data, detektion og den efterfølgende analyse.

SIEM-færdigheden er vigtig i Security Operations Centers, hvor sikkerhedsanalytikere dagligt skal vurdere alarmer og undersøge mistænkelig aktivitet. Her gør evnen til hurtigt at forstå data og skelne reelle trusler fra støj en stor forskel.

Færdigheden er også central for folk, der arbejder med detection engineering. De bygger og vedligeholder detektioner baseret på kendte angrebsteknikker, organisationens egne risici og de data, der faktisk findes i miljøet.

Security engineers og folk, der arbejder med SIEM, bruger færdigheden, når nye systemer skal kobles på overvågningen. De vurderer blandt andet, hvilke logs der skal indsamles, hvordan data skal struktureres, og hvordan det kan bruges i konkrete sikkerhedsscenarier.

Ved incident response bruges SIEM til at rekonstruere hændelser. Det kan være nødvendigt at finde ud af, hvornår en konto blev kompromitteret, hvilke systemer angriberen tilgik, og hvilken aktivitet der fandt sted bagefter.

SIEM er også relevant ved threat hunting. Her starter arbejdet ikke nødvendigvis med en alarm. Analytikeren opstiller i stedet en hypotese om mulig angriberadfærd og undersøger historiske eller aktuelle data for tegn på den.

For en security architect eller SOC-ansvarlig er færdigheden vigtig ved design af overvågningen. Et SIEM skaber ikke automatisk god sikkerhed, fordi mange logs sendes ind. Der skal være en bevidst sammenhæng mellem trusler, datakilder, detektioner og den proces, som følger efter en alarm.

SIEM læres bedst gennem praktisk arbejde med rigtige eller realistiske sikkerhedsdata. Man bliver ikke stærk i SIEM alene ved at lære platformens menuer.

Et godt udgangspunkt er at forstå logs fra Windows, Linux, identitetssystemer, firewalls, DNS, endpoints og cloudplatforme. Derefter kan man øve sig i at finde bestemte hændelser, sammenkæde data fra flere kilder og forstå, hvad normal aktivitet ser ud som.

Næste skridt er at lære forespørgselssproget i den platform, man arbejder med. For Microsoft Sentinel er KQL centralt. For Splunk er SPL centralt. Træningen bør hurtigt gå videre fra simple søgninger til korrelation, tidslinjer, filtrering, aggregering og detektionslogik.

En effektiv øvelse er at vælge en teknik fra MITRE ATT&CK og undersøge, hvilke datakilder der kan afsløre den. Derefter bygges en detektion, som testes med realistiske hændelser eller en simuleret aktivitet. Resultaterne bruges til at justere reglen og dokumentere, hvad den kan og ikke kan opdage.

Det er vigtigt også at træne investigation. Tag en alarm og følg den tilbage til de rå events. Undersøg hvad der skete før og efter. Find relaterede brugere og systemer. Opstil en hypotese og forsøg derefter at be- eller afkræfte den med data.

Microsofts læringsforløb til Microsoft Security Operations Analyst, SC-200, er relevant for arbejde med Microsoft Sentinel. Det omfatter blandt andet datakilder, KQL, detektion, investigation, threat hunting og automatisering.

For Splunk findes blandt andet Using Splunk Enterprise Security og Administering Splunk Enterprise Security. De er relevante for folk, der arbejder operativt eller teknisk med Splunk Enterprise Security.

SANS SEC555: Detection Engineering and SIEM Analytics er et mere specialiseret forløb med fokus på loganalyse, detection engineering og SIEM-analyse.

Kurser kan give struktur og laboratorieøvelser, men SIEM-færdighed kræver erfaring. Det er først gennem gentagen analyse af hændelser, udvikling af detektioner og tuning mod virkelige miljøer, at man lærer at vurdere, hvilke signaler der faktisk betyder noget.

En person med reel SIEM-erfaring kan forklare arbejdet ud fra konkrete sikkerhedsscenarier og ikke kun ud fra funktionerne i et bestemt produkt.

Spørg eksempelvis personen, hvordan vedkommende ville opdage en kompromitteret brugerkonto. Et stærkt svar beskriver relevante datakilder, den adfærd man leder efter, hvordan data korreleres, og hvordan en alarm efterfølgende undersøges.

Du kan også bede personen forklare en detektion, vedkommende selv har bygget eller forbedret. Spørg hvilke logs den bruger, hvorfor logikken ser ud som den gør, hvordan den blev testet, og hvilke false positives der opstod. En erfaren person kan normalt forklare både styrker og begrænsninger.

Spørg også, hvad personen gør, hvis en detektion producerer for mange alarmer. Et godt svar handler ikke bare om at hæve en tærskel. Personen bør undersøge årsagen, analysere normal adfærd og vurdere risikoen for at filtrere relevante hændelser væk.

Det er desuden værd at se efter praktisk erfaring med KQL, SPL eller et tilsvarende forespørgselssprog. Personen bør kunne arbejde direkte med rå sikkerhedsdata og ikke være afhængig af færdige dashboards.

En stærk SIEM-profil forstår også datakvalitet. Vedkommende ved, at en flot detektionsregel ikke hjælper, hvis de nødvendige logs mangler, felterne er forkerte, eller data ankommer ufuldstændigt.

Certificeringer og kurser kan dokumentere træning i en platform. De dokumenterer ikke i sig selv, at personen kan drive effektiv sikkerhedsovervågning. Konkrete eksempler på detektion, tuning, threat hunting og investigation siger normalt mere om det reelle færdighedsniveau.