Hvilket problem forsøger du at løse?
Forskellige SIEM projekter starter af forskellige årsager. En organisation kan have brug for centraliseret synlighed; en anden kan have brug for stærkere undersøgelser. Man forsøger muligvis at forbedre registreringsdækningen på tværs af et fragmenteret miljø; en anden kan være drevet af rapporterings-, opbevarings- eller revisionskrav.
Hvis udgangspunktet er vagt, vil evalueringen normalt også være vag. Et SIEM bør vælges ud fra et klart defineret operationelt behov, ikke ud fra en generisk idé om, hvordan et SOC værktøj skal se ud.
Kan den indtage de rigtige data?
En SIEM er kun så nyttig som den telemetri, den kan indsamle og gøre brugbar. Det betyder, at du skal se på de systemer, der betyder mest for dit miljø: slutpunkter, identitetskilder, cloudtjenester, e-mail, programmer, netværksinfrastruktur og andre kritiske kontrolpunkter.
Bredden betyder noget, men relevansen betyder mere. Målet er ikke at indtage alt vilkårligt – det er at sikre, at platformen kan håndtere de kilder, dit sikkerhedsteam faktisk har brug for til registrering og undersøgelse.
Kan det normalisere og korrelere effektivt?
Central indsamling er ikke nok i sig selv. SIEM skal gøre data konsistente nok til at søge, sammenligne og korrelere på tværs af forskellige værktøjer og teknologier.
Det er her, nogle platforme ser stærke ud i demonstrationer, men viser sig at være sværere at bruge i praksis. Hvis normaliseringen er svag, feltkortlægninger er inkonsekvente, eller cross-source logik er svær at vedligeholde, kan SIEM blive et stort lagerlag med begrænset analytisk værdi.
Understøtter det reelle undersøgelser?
Et stærkt virksomheds- SIEM bør hjælpe analytikere med at undersøge effektivt, ikke kun vise advarsler på et dashboard.
Det betyder, at teams skal kunne søge i historiske og aktuelle data, pivotere på tværs af brugere og systemer, følge tidslinjer, gennemgå relaterede hændelser og forstå omfanget af en hændelse uden at være afhængig af manuelle løsninger.
Kan dit team bygge og justere registreringer på det?
Enterprise SIEM værdi afhænger i høj grad af kvaliteten af de registreringer, der kører i den. En nyttig platform bør understøtte meningsfuld regeludvikling, fleksibel korrelationslogik og løbende tuning baseret på organisationens risikoprofil og angrebsmønstre i den virkelige verden.
Indhold, der leveres færdigt, kan hjælpe teams med at komme i gang, men det er sjældent nok alene. Den bedste test er, om platformen hjælper dit team med at tilpasse registreringer til dit eget miljø og vedligeholde dem over tid.
Hvad vil det koste at køre?
De reelle omkostninger ved et SIEM går ud over licensering. Det inkluderer indtagelse, lagring, opbevaring, vedligeholdelse af indhold, vedligeholdelse af parser, justering af ydeevne og de personer, der er nødvendige for at administrere det.
Derfor bør omkostninger vurderes som et driftsmodelspørgsmål og ikke kun et indkøbsspørgsmål. En platform kan se attraktiv ud på købsstadiet og stadig vise sig at være dyr, hvis den kræver for meget specialistindsats eller skaleres dårligt med datavækst.
Hvor godt passer det til et blandet miljø?
De fleste virksomheder opererer ikke i et økosystem fra en enkelt leverandør. De har arvede værktøjer, cloud-tjenester, regionale variationer, ældre systemer og overlappende kontroller. Et SIEM skal fungere i denne virkelighed.
Interoperabilitet er vigtigt. Platformen bør være i stand til at samle data fra forskellige kilder og hjælpe teamet med at undersøge på tværs af et heterogent miljø, ikke kun på tværs af et snævert sæt native integrationer.
Hvad skal være på shortlisten?
En stærk shortliste bør normalt besvare disse spørgsmål klart:
- Kan platformen indtage de kilder, der betyder mest for vores miljø?
- Kan den normalisere og korrelere data godt nok til at understøtte reelle undersøgelser?
- Kan vores team opbygge, justere og vedligeholde nyttige registreringer over tid?
- Kan det understøtte de arbejdsgange, vores SOC allerede bruger, eller ønsker at forbedre?
- Har vi råd til den operationelle model, ikke kun det første køb?
- Vil det fungere på tværs af den blanding af værktøjer og miljøer, vi allerede har?
Disse spørgsmål er mere nyttige end sammenligninger af antal funktioner, fordi de forbinder produktevaluering med reelle driftsresultater.
Hvor tager organisationerne fejl af?
Tre fejl dukker op gentagne gange:
- Køb til dashboards, krav eller funktionstjeklister i stedet for til undersøgelser og arbejdsgange
- Undervurdere den operationelle indsats, der kræves for at administrere telemetri, tuning og søgeydeevne
- Når du ignorerer langsigtet bæredygtighed og vælger en platform, kan teamet ikke realistisk køre godt.
Nøgle takeaway
Vælg en virksomheds SIEM baseret på operationel tilpasning. Den bedste mulighed er den, der kan indtage de rigtige data, normalisere dem godt, understøtte reelle undersøgelser, muliggøre meningsfulde registreringer og forblive bæredygtig, så dit team kan fungere over tid.
Er du klar til at evaluere SIEM i forhold til behovene i din virksomheds SOC?
Se, hvordan Kasperskys SIEM løsning kan hjælpe dit team med at centralisere sikkerhedsdata, korrelere aktivitet på tværs af forskellige miljøer og undersøge trusler mere effektivt.
Understøttende kilder og yderligere læsning:
