Trong bối cảnh doanh nghiệp ngày nay đối mặt với những mối đe dọa mạng ngày càng tinh vi, nhu cầu về một giải pháp bảo mật cân bằng giữa khả năng bảo vệ chủ động (proactive protection) và khả năng mở rộng linh hoạt (adaptable expansion) trở nên cấp thiết.
Phần lớn hoạt động trong SOC (Security Operations Center) được xây dựng xoay quanh SIEM – Security Information and Event Management, nền tảng có vai trò thu thập, phân tích và tương quan dữ liệu sự kiện từ nhiều nguồn khác nhau.
Tuy nhiên, trước sự phát triển nhanh chóng của các kỹ thuật tấn công, SIEM hiện đại không chỉ dừng lại ở log aggregation, mà còn cần:
Một trong những mục tiêu chính khi triển khai SIEM chính là giảm thiểu “Time to Detect (TTD)” và “Time to Respond (TTR)” – hai thước đo quan trọng phản ánh hiệu quả SOC.
Quá trình Aggregation và Correlation
SIEM được hầu hết các tổ chức doanh nghiệp sử dụng để giám sát bảo mật theo thời gian thực.
Chức năng cơ bản của SIEM bao gồm:
Ví dụ: khi một laptop nhân viên bị nhiễm malware, nó có thể scan và tấn công ngang (lateral movement) sang các host khác. Các host này thường có HIDS/HIPS ghi nhận hoạt động bất thường và gửi về SIEM. Thay vì hiển thị rời rạc, SIEM sẽ tương quan các sự kiện đó để chỉ ra nguồn gốc – chính laptop bị nhiễm. Từ đó, SOC có thể cách ly endpoint để ngăn lan truyền.
Ngoài các cảnh báo real-time, SIEM còn cung cấp báo cáo lịch sử theo tuần/tháng/quý để giúp SOC thiết lập baseline về hoạt động bình thường và đánh giá xu hướng an ninh theo thời gian.
Thách thức triển khai SIEM
Triển khai SIEM không đơn giản như “racking up một box SIEM” và kỳ vọng nó tự động chạy. Thành công của dự án SIEM phụ thuộc vào:
Nếu không có bước chuẩn bị này, SIEM dễ trở thành một “log dumping system” thay vì công cụ vận hành SOC hiệu quả.
SIEM – “Keo dán” trong hệ sinh thái Security
SIEM đóng vai trò như “single pane of glass” để SOC có thể giám sát toàn bộ hạ tầng an ninh. Nó là “keo dán” giữa các công cụ bảo mật khác nhau (firewall, IPS/IDS, EDR, UEBA, SOAR).
Trên thị trường hiện nay có nhiều giải pháp SIEM:
Ví dụ: Splunk SIEM cung cấp security posture dashboard trực quan, tổng hợp notable events theo từng category, giúp SOC analyst nhanh chóng có cái nhìn toàn cảnh.
Câu hỏi ôn tập
Câu hỏi 1: Mục tiêu chính của SIEM là gì?
