Nej. Antivirus beskytter typisk enheder mod malware, mens SIEM samler og analyserer logs på tværs af systemer.
Begreb
SIEM
•
2 min
•
Grundlæggende
SIEM står for Security Information and Event Management og er en løsning til at indsamle, analysere og korrelere sikkerhedslogs fra forskellige systemer. Det kan for eksempel være logs fra identitetssystemer, endpoints, firewalls, servere, cloudtjenester og applikationer.
Hvorfor er begrebet vigtigt?
SIEM er vigtigt, fordi sikkerhedshændelser ofte efterlader spor flere steder på samme tid. En mistænkelig loginaktivitet kan for eksempel hænge sammen med endpoint-alarmer, ændringer i rettigheder og adgang til følsomme filer.
Uden central logindsamling kan det være svært at se sammenhængen. Et SIEM kan hjælpe med at opdage mønstre, prioritere alarmer og give bedre grundlag for undersøgelse og respons.
Typisk misforståelse
Den mest almindelige fejl er at tro, at SIEM automatisk giver sikkerhed. Et SIEM er kun værdifuldt, hvis de rigtige logs indsamles, alarmerne er relevante, og nogen faktisk overvåger, undersøger og reagerer på hændelserne.
Eksempel
En bruger logger ind fra et usædvanligt land, får adgang til mange filer og udløser samtidig en endpoint-alarm. Et SIEM kan samle hændelserne og gøre det lettere at se, at der kan være tale om en kompromitteret konto.
Best practice
Indsaml logs fra de mest kritiske systemer først.
Definér relevante alarmer og undgå unødvendig støj.
Sørg for ansvar for overvågning og reaktion.
Test om alarmer fører til konkrete handlinger.
Kombinér SIEM med EDR, MFA og adgangsstyring.
Frequently asked questions
Ikke nødvendigvis fra start. Det vigtigste er at indsamle de rigtige logs fra de systemer, der har størst betydning for sikkerhed og drift.
Ja, men løsningen bør tilpasses behov og ressourcer. For små virksomheder kan en administreret sikkerhedsløsning ofte være mere realistisk end at drive et SIEM helt selv.