Aktywna ochrona systemów informatycznych
Aktywna ochrona systemów informatycznych polega na ciągłym gromadzeniu i analizie logów pochodzących z ruchu sieciowego, serwerów i stacji roboczych. Jest to ogromna ilość informacji, której analiza w cele znalezienia anomalii wskazujących na źródła ataku wymaga czasu i odpowiednich zasobów, tymczasem w przypadku aktywnych ataków kluczowy jest czas i właściwa reakcja na zagrożenia. Rozwiązaniem są systemy SIEM (Security Information and Event Management), które dzięki analizie i łączeniu ogromnych ilości informacji umożliwia szybką identyfikację źródła zagrożenia oraz podjęcie adekwatnych środków. Obecnie stosowanie system klasy SIEM, obok systemów UTM/NGFW, systemów ochrony stacji roboczych są powszechnie przyjęta praktyką w średnich i dużych systemach
Cechy dobrego systemu SIEM:
- Gotowa analiza przepływów sieciowych (flow) i logów (logi) na podstawie predefiniowanej szerokiej bazy dostępnych na rynku systemów i urządzeń
- Gotowa baza predefiniowanych raportów i kokpitów umożliwiająca szybkie i skuteczne wdrożenie systemu
- Dostęp do pełnej informacji o tym, co dzieje się w infrastrukturze sieciowej i poszczególnych systemach w czasie rzeczywistym
- Przechowywanie i zarządzanie zbiorem oryginalnych logów pochodzących ze źródeł danych
- System wspomagający zarządzanie incydentami
- Minimalizowanie fałszywych alertów (false positive) w celu podniesienia skuteczności i efektywności działania zespołów zarządzających bezpieczeństwem
- Skalowalność rozwiązania umożliwiająca jego ciągłe wykorzystanie przy rosnącej infrastrukturze i zwiększającej się ilości dostępnych systemów