SIEM

SIEM — система управления информацией и событиями безопасности, собирающая журналы и телеметрию от серверов, сетевых устройств, средств защиты, приложений и облачных сервисов. Она приводит данные к общей модели, хранит их и сопоставляет события по правилам, времени, субъектам и другим признакам. Ключевые возможности SIEM включают поиск по событиям, корреляционные правила, оповещения, дашборды и отчёты. Качество выявления зависит от состава подключённых источников, нормализации полей, синхронизации времени, правил корреляции и процессов обработки инцидентов. При внедрении рассчитывают объём событий, сроки хранения, пропускную способность и требования к защите данных журналов. SIEM применяют в центрах мониторинга безопасности и ИТ-службах для обнаружения подозрительной активности и расследований. Она отличается от системы централизованного логирования тем, что выполняет аналитику и корреляцию; от SOAR — тем, что не обязана автоматизировать сценарии реагирования.