Συγκριτική μελέτη SIEM εργαλείων

Abstract

Τα συστήματα Διαχείρισης Πληροφοριών και Συμβάντων Ασφάλειας (SIEM) έχουν γίνει σήμερα ένα κρίσιμο και ουσιαστικό στοιχείο σύνθετων δικτύων και επιχειρήσεων, αποτελώντας βασικό άξονα γύρω από τον οποίο περιστρέφονται οι λειτουργίες ασφάλειας ενός οργανισμού.Αποτελεί γεγονός ζωτικής σημασίας η αξιολόγηση της ποιότητας μίας τέτοιας λύσης και ηδιασφάλιση ότι ηδιαχείρισή της, από τηνομάδα SOC, θα επιφέρει την κάλυψη των απαιτήσεων ασφάλειαςπου έχει θέσειμια επιχείρηση ή έναςοργανισμός. Δεδομένης της ύπαρξης ευρέως φάσματος SIEM λύσεων που είναι διαθέσιμες σήμερα στην αγοράκαθώς και της ποικιλομορφίας των υπό προστασία αγαθών, το έργο των ατόμων που έχουν κληθεί να επιλέξουν το κατάλληλο SIEM προϊόν για τον οργανισμό στον οποίο ανήκουν, καθίσταται δυσχερές. Κάθεπλατφόρμα SIEM φέρειπολλά πλεονεκτήματα και μειονεκτήματα. Πολλά εξ’ αυτών είναι ευρέως και δημόσια γνωστά, ωστόσο υπάρχουν και κάποια τα οποία είναι εμφανή μόνο μέσα από την ουσιαστική διαχείριση και τριβή με τη εκάστοτε λύση. Στην παρούσα εργασία επιχειρείται μια συγκριτική μελέτη δύο εκ των κορυφαίων SIEM εργαλείων από τη σκοπιά ενός αναλυτή ασφάλειαςπου τις διαχειρίζεται. Ως βασικό μέσο σύγκρισης θα δημιουργηθούν και θα χρησιμοποιηθούν κοινές περιπτώσεις χρήσης (use cases) κακόβουλων τακτικών και τεχνικών.

Security Information and Event Management (SIEM) systems have today become a critical and essential component of complex networks and enterprises, forming a key axis around which an organization's security operations revolve. It is vital to assess the quality of such a solution and ensure that its management by the SOC team will meet the security requirements set by a business or organization. Given the wide range of SIEM solutions available in the market today as well as the diversity of assets under protection, the task of individuals tasked with choosing the right SIEM product for their organization becomes difficult. Each SIEM platform has many advantages and disadvantages. Many of these are widely and publicly known, however there are also some which are only apparent through the essential management and friction with each solution. In this paper, a comparative study of two of the leading SIEM tools is attempted from the point of view of a security analyst who manages them. As a basic means of comparison, common use cases of malicious tactics and techniques will be created and used.