Gestão de Segurança da Informação e Eventos (SIEM)

O que é SIEM (Gerenciamento de Informações e Eventos de Segurança)?

SIEM, abreviação de Security Information and Event Management, é um sistema que centraliza a coleta, o armazenamento e o gerenciamento de logs gerados por vários dispositivos e softwares, analisa-os em tempo real para detectar ameaças à segurança e emite alertas durante eventos anormais. O termo SIEM também se refere ao software usado para essa finalidade.

Os principais recursos do SIEM incluem:

• Coleta e armazenamento de registros de eventos:
  Os sistemas SIEM coletam e armazenam logs de eventos relacionados à segurança de várias fontes, como firewalls, WAFs, software antivírus, servidores proxy, sistemas operacionais e applications. No entanto, coletar muitos logs pode aumentar a carga de trabalho operacional e complicar processos como a normalização. Portanto, é crucial priorizar e selecionar cuidadosamente as fontes de log.

• Normalização de dados de log:
  Os dados coletados devem ser unificados em formato e interpretação, eliminando redundâncias. Esse processo é chamado de normalização.

• Análise de correlação entre dados de log:
  Certas ameaças à segurança não podem ser detectadas por meio de uma única entrada de log. Os sistemas SIEM analisam várias entradas de log em conjunto para identificar padrões e ameaças que os logs individuais não conseguem mostrar. Por exemplo, ataques de lista de senhas têm muito menos tentativas de login em comparação aos ataques de força bruta, tornando-os indistinguíveis de erros típicos de entrada do usuário. Ao agregar logs com base no endereço IP de origem e detectar múltiplas tentativas de login usando IDs diferentes do mesmo IP, o SIEM pode identificar ataques de lista de senhas.

• Alertas e relatórios:
  Se o SIEM identificar eventos indicativos de ameaças à segurança, ele envia alertas aos administradores. Além disso, ele gera relatórios que apresentam visualmente esses eventos, permitindo melhor gerenciamento e otimização das defesas de segurança.

O BIG-IP da F5 registra dados abrangentes relacionados à segurança e pode ser integrado a várias ferramentas SIEM, aprimorando ainda mais as medidas de segurança por meio de análise abrangente de dados e detecção de ameaças.