Управление событиями безопасности ( SEM ) и связанные с ним SIM и SIEM — это дисциплины компьютерной безопасности, которые используют инструменты проверки данных для централизации хранения и интерпретации журналов или событий, созданных другим программным обеспечением, работающим в сети. [1] [2] [3]
Аббревиатуры SEM , SIM и SIEM иногда используются как взаимозаменяемые, [3] : 3 [4], но обычно они указывают на различную основную направленность продуктов:
Многие системы и приложения, работающие в компьютерной сети, генерируют события, которые сохраняются в журналах событий. Эти журналы по сути являются списками произошедших действий, с записями новых событий, добавляемыми в конец журналов по мере их возникновения. Протоколы , такие как syslog и SNMP , могут использоваться для передачи этих событий по мере их возникновения в программное обеспечение для регистрации, которое не находится на том же хосте, на котором генерируются события. Лучшие SEM предоставляют гибкий набор поддерживаемых протоколов связи, чтобы обеспечить самый широкий спектр сбора событий.
Направлять все события в централизованную систему SEM выгодно по следующим причинам:
Хотя централизованное ведение журналов существует уже давно, SEM — это относительно новая идея, впервые предложенная в 1999 году небольшой компанией E-Security [8] и до сих пор быстро развивающаяся. Ключевой особенностью инструмента управления событиями безопасности является возможность анализировать собранные журналы для выделения событий или поведения, представляющих интерес, например, входа администратора или суперпользователя вне обычных рабочих часов. Это может включать присоединение контекстной информации, такой как информация о хосте (значение, владелец, местоположение и т. д.), идентификационная информация (информация о пользователе, связанная с учетными записями, на которые ссылается событие, например, имя/фамилия, идентификатор рабочей силы, имя менеджера и т. д.) и т. д. Эта контекстная информация может быть использована для обеспечения лучших возможностей корреляции и отчетности и часто называется метаданными. Продукты также могут интегрироваться с внешними инструментами исправления, тикетирования и рабочего процесса для содействия процессу разрешения инцидентов. Лучшие SEM будут предоставлять гибкий, расширяемый набор возможностей интеграции, чтобы гарантировать, что SEM будет работать с большинством сред клиентов.
SEM часто продаются, чтобы помочь удовлетворить нормативные требования США, такие как закон Сарбейнса-Оксли , PCI-DSS , GLBA . [ необходима ссылка ]
Одной из основных проблем в области SEM является сложность последовательного анализа данных событий. Каждый поставщик, и действительно во многих случаях различные продукты одного поставщика, используют разные фирменные форматы данных событий и методы доставки. Даже в случаях, когда для какой-то части цепочки используется «стандарт», например Syslog , стандарты обычно не содержат достаточно рекомендаций, чтобы помочь разработчикам в том, как генерировать события, администраторам в том, как правильно и надежно их собирать, а потребителям в том, чтобы эффективно их анализировать.
В качестве попытки борьбы с этой проблемой ведется несколько параллельных усилий по стандартизации. Во-первых, The Open Group обновляет свой стандарт XDAS примерно 1997 года, который так и не вышел за рамки чернового варианта. Эта новая попытка, получившая название XDAS v2, попытается формализовать формат событий, включая то, какие данные должны быть включены в события и как они должны быть выражены. [ необходима цитата ] Стандарт XDAS v2 не будет включать стандарты доставки событий, но другие стандарты, разрабатываемые Distributed Management Task Force, могут предоставить оболочку.
Кроме того, MITRE разработала усилия по унификации отчетности о событиях с Common Event Expression (CEE), которая была несколько шире по охвату, поскольку пыталась определить структуру событий, а также методы доставки. Однако финансирование проекта закончилось в 2014 году.