Gerenciamento de Informações e Eventos de Segurança (SIEM)

O que é SIEM (Gerenciamento de Informações e Eventos de Segurança)?

SIEM, sigla em inglês para Gerenciamento de Informações e Eventos de Segurança, é um sistema que centraliza a coleta, o armazenamento e o gerenciamento de logs gerados por diversos dispositivos e softwares, analisando-os em tempo real para detectar ameaças à segurança e emitir alertas em caso de eventos anormais. O termo SIEM também se refere ao software utilizado para essa finalidade.

Os principais recursos de um SIEM incluem:

• Coleta e armazenamento de logs de eventos:
  Os sistemas SIEM coletam e armazenam logs de eventos relacionados à segurança provenientes de diversas fontes, como firewalls, WAFs, softwares antivírus, servidores proxy, sistemas operacionais e aplicações. No entanto, coletar logs em excesso pode aumentar a carga de trabalho operacional e dificultar processos como a normalização. Portanto, é fundamental priorizar e selecionar cuidadosamente as fontes de logs.
• Normalização dos dados de log:
  Os dados coletados devem ser uniformizados em termos de formato e interpretação, eliminando-se as redundâncias. Esse processo é chamado de normalização.
• Análise de correlação entre dados de log:
  Certas ameaças à segurança não podem ser detectadas por meio de uma única entrada de log. Os sistemas SIEM analisam várias entradas de log em conjunto para identificar padrões e ameaças que os logs individuais não conseguem revelar. Por exemplo, os ataques com listas de senhas têm muito menos tentativas de login do que os ataques de força bruta, o que os torna indistinguíveis de erros comuns de digitação dos usuários. Ao agregar os logs com base no endereço IP de origem e detectar várias tentativas de login com IDs diferentes provenientes do mesmo IP, o SIEM consegue identificar ataques com listas de senhas.
• Alertas e relatórios:
  Se o SIEM identificar eventos que indiquem ameaças à segurança, ele enviará alertas aos administradores. Além disso, gerará relatórios que apresentam esses eventos visualmente, permitindo aprimorar o gerenciamento e a otimização das defesas de segurança.

O BIG-IP da F5 registra uma ampla variedade de dados relacionados à segurança e pode ser integrado a diversas ferramentas de SIEM, reforçando ainda mais as medidas de segurança por meio de análises abrangentes de dados e da detecção de ameaças.