Best practices voor succesvolle SIEM-implementatie
- Stel het toepassingsgebied en de vereisten vast
Weet precies welke activiteiten en logboeken u door uw SIEM wilt laten bewaken. Dit omvat het kiezen of u uw SIEM wilt implementeren als lokale software of als gehoste of beheerde service.
Vervolgens moet u een duidelijk beeld krijgen van de vereisten voor uw SIEM, inclusief de use-cases voor uw specifieke branche. Bovendien moet u kennis nemen van de compliancevereisten en deze vergelijken met de kandidaat-SIEM-oplossingen die u overweegt. Sommige leveranciers bieden ingebouwde functies die specifieke nalevingsvereisten ondersteunen, waaronder auditing.
- Correlatieregels aanpassen
De kernwaarde van SIEM komt voort uit het toepassen van correlatieregels die beveiligingsgebeurtenissen kunnen markeren die anders onopgemerkt blijven. Bijvoorbeeld een correlatieregel die zegt dat als er meerdere mislukte aanmeldingen zijn vanaf hetzelfde IP-adres in een bepaald tijdsbestek gevolgd door een succesvolle aanmelding, er mogelijk een brute force-aanval bezig is. Hoewel SIEM-software wordt geleverd met een eigen set ingebouwde regels, kunt u deze aanpassen aan uw behoeften door valse positieven te verwijderen of nieuwe regels te maken.
- Doe eerst een testrun
Een pilot-run in een deel van de infrastructuur is een goede manier om de nieuwe implementatie te testen. Deze fase biedt het proof of concept en de potentiële ROI voor het systeem. Het is echter belangrijk dat deze testsubset de bredere systeemcontext vertegenwoordigt om fouten en kwetsbaarheden in beveiligingsbeleid te kunnen identificeren.
Verzamel tijdens deze testrun zoveel mogelijk gegevens om een duidelijk beeld te krijgen van hoe het systeem zou werken. Het is natuurlijk niet altijd mogelijk om gegevens uit elke bron binnen de organisatie te verzamelen. In dit geval moet u prioriteit geven aan secties die betrekking hebben op de kritieke systemen en gevoelige gegevens.
- Zorg voor een Incident Response Plan
Een SIEM biedt bijna realtime monitoring en waarschuwingen voor detectie van IT-bedreigingen, waardoor snel kan worden gereageerd op een groot aantal beveiligingsgebeurtenissen. De organisatie moet echter gebruikmaken van SIEM-functies door een gedetailleerd, praktisch Incident Response Plan te implementeren.
Dit uitgebreide protocol moet betrekking hebben op zaken als het verdelen van de verantwoordelijkheden en taken in het geval van een datalek of aanval, het prioriteren en documenteren van het evenement en het delegeren van wie verantwoordelijk is voor het communiceren van de inbreuk aan belanghebbenden en relevante autoriteiten. Een goed opgesteld incidentresponsplan biedt de exacte stappen en richtlijnen die de beveiligingsteams moeten volgen wanneer een aanval plaatsvindt, wat tijd bespaart en fouten als gevolg van ad-hocreacties minimaliseert.
- Update uw SIEM-systeem continu
Aangezien aanvallers hun methoden en technieken voortdurend verbeteren, moet de SIEM een stap voor blijven. U moet uw SIEM periodiek testen, potentiële aanvallen modelleren en de SIEM-reactie evalueren. Het simuleren van aanvallen kan u helpen de SIEM-configuratie te verfijnen door de correlatieregels, het beleid en de procedures aan te passen om kwaadwillende aanvallers voor te blijven.
