SIEM Nedir?

Kurulup içine bütün kayıtlar akıtıldığında kendiliğinden güvenlik üretmez. Her kaynağı bağlayan ve varsayılan kuralları açık bırakan kurumlar kısa sürede kimsenin bakmadığı bir uyarı seliyle kalır. Uyarıya bakılmıyorsa elde duran şey bir arşivdir; satın alırken kurulan beklenti de genellikle burada yanlış kurulur.

Sistemin çıkışı iki ayrı ihtiyacın birleşmesine dayanır. Bir yanda kayıtları toplayıp saklama işi vardı, diğer yanda dağınık olaylar arasında bağ kurma isteği. Ayrı ayrı bakıldığında hiçbiri alarm vermeyen üç kaydın, yan yana konduğunda tek bir hikâyeye dönüşmesi bu işin özüdür: başarısız girişlerin ardından gelen başarılı bir oturum açma, hemen sonrasında hiç kullanılmayan bir sunucuya erişim.

Uygulamada işleyen sıra şu: az sayıda senaryoyla başlayın, o senaryoların gerektirdiği kaynakları bağlayın, üretilen uyarıya kimin bakacağını isim olarak belirleyin. Kaynakların saatleri senkron değilse korelasyon zaten çalışmaz, bu yüzden ilk iş odur. Neyin gönderileceğine karar verirken depolama maliyetini de hesaba katın; her şeyi göndermek çoğu kurumda bütçeyi bitirir ve gerçek bir karşılığı olmaz.