Home » SIEM

SIEM

SIEM (Security Information and Event Management) est un outil de sécurité informatique qui sert à collecter, stocker et analyser de vastes volumes de données de journaux en provenance de toutes les sources de l’entreprise. Il sert à tirer parti de chacune de ces données (récoltées) pour identifier et analyser les évènements et incidents pouvant avoir lieu sur le réseau informatique de l’entreprise. En cas d’évènements suspects ou d’incidents identifiés, des alertes sont générées pour faciliter leurs prises en charge.

 

Comment fonctionne un SIEM ?

Un SIEM combine deux fonctions principales. Dans un premier temps, il collecte à partir d’une multitude d’agents les logs et données de journaux générés par les équipements de sécurité (pare-feu, antivirus ou anti-intrusions). Il collecte également ceux des systèmes hôtes des entreprises, les serveurs, les équipements réseau. Puis, il centralise toutes ces données au sein d’une console unifiée et établie, sur la base de règles, un diagnostic. Lorsqu’une alerte est levée à cause d’une activité malveillante, il évalue en fonction des règles pré-établies son niveau de gravité/priorisation dans la gestion des incidents par l’équipe SOC.

 

Quel SIEM choisir pour un SOC (Security Operations Center) ?

Face à la montée en puissance des attaques de ransomware et l’émergence des menaces avancées et persistantes (APT), les équipes SOC, en charge de la sécurité informatique ne peuvent plus se permettre de restreindre leurs activités à l’usage des outils SIEM. Ces outils de collecte et gestion des événements de sécurité laisse percevoir différentes limites comme le fait de :

  • Submerger ses équipes SOC, d’un flux important de faux positifs, les incitant parfois à baisser le niveau de vigilance sur les menaces les plus critiques.
  • Augmenter la charge de travail de son équipe d’analystes d’autant plus qu’elle doit consentir un effort d’investigation autour des alertes non contextualisées (car issues de sources non corrélées).

Pour les profils évoluant au poste de responsable SOC, RSSI, CISO, l’adoption d’un outil SIEM peut être source d’angoisse. Cela, en raison du manque de visibilité sur le coût que représenterait son déploiement. La volumétrie des données à collecter, étant très fluctuant, ils peuvent être contraints de faire un choix entre la sécurité et les données. Et pour cause, la facturation peut très vite grimper à la suite à un pic d’évènements imprévisibles.

Chez Sekoia.io, nous vous proposons l’usage de notre solution XDR. Ici, la tarification est prédictive car elle est établie en fonction du parc informatique à superviser et non des données à collecter. 

Security Information and Event Management (SIEM)

 

Notre solution regroupe à partir d’une console unifiée, la puissance d’un SIEM, l’agilité du SaaS et l’efficacité d’un SOAR, pilotés par un renseignement déjà opérationnel.

Il apporte gain de temps et efficacité à vos analystes. Grâce à notre flux CTI natif, vos analystes disposent de nombreuses règles de détection déjà actionnables dès les premières minutes de déploiement. Ils peuvent réaliser des actions ayant une réelle valeur-ajoutée comme le fait de mener des investigations autour des alertes levées par nos règles de détection. Chaque alerte déclenchée est enrichie en combinant règles de détection basées sur la CTI, approche comportementale des menaces et moteur de corrélation SIGMA. Ce dispositif aide à réduire leurs efforts d’investigation.

Par ailleurs, une fois les connecteurs effectués, notre solution XDR ne se contente pas de superviser les logs actuels ou futurs comme le ferait, par exemple, un EDR. Il prend également en compte vos logs anciens (si ceux-ci existaient bien évidemment). Au cas où il y aurait une menace existante, une alerte est levée pour que celle-ci soit traitée par vos analystes ou bloquée par vos outils de sécurité. 

Vous disposez déjà d’un outil SIEM ? Toutefois, vous hésitez à adopter un outil XDR pour diverses raisons. Nous vous invitons à consulter cette page dédiée aux cas d’usage de notre solution SEKOIA.IO XDR. Nous y abordons par la même occasion, les facilités d’intégration proposées par notre solution.

Découvrez la définition de : Cyber Threat intelligence (CTI), eXtended Detection and Response (XDR), Endpoint Detection and response (EDR), CSIRT, CERT.

Si vous consultez pour la première fois notre site web, sachez que nous sommes un éditeur de logiciels de cybersécurité. Nous fournissons aux équipes cyber et MSSP une plateforme de sécurité opérationnelle clé en main. À travers notre plateforme XDR, notre outil CTI et notre plateforme de Threat Intelligence, nous permettons à nos usagers de neutraliser les menaces informatiques, quelle que soit la surface d’attaque.

Autres termes

Autres termes

EDR(Endpoint Detection and Response)

EDR est l’acronyme de Endpoint Detection and Response. Le terme EDR est apparu pour la première fois en 2013 dans une analyse de la société de conseil Gartner. Analysant le fait que les hackers ciblent prioritairement les postes de travail des salariés, Gartner a introduit le concept de “Endpoint Detection and Response” pour désigner une solution de sécurité permettant de détecter et de remédier aux cybermenaces ciblant les terminaux (ordinateur, serveur).

EPP(Endpoint Protection Platform)

EPP (Endpoint Protection Platform ou plateforme de protection des terminaux en français) est une solution de cybersécurité qui aide les organisations à protéger leurs endpoints (terminaux) tels que les ordinateurs portables, les ordinateurs de bureau, les serveurs et les appareils mobiles.

Échangez avec l’équipe

Vous souhaitez en savoir plus sur nos solutions de protection ?
Vous voulez découvrir nos produits de XDR et de CTI ?
Vous avez un projet de cybersécurité dans votre organisation ?
Prenez rendez-vous et rencontrons-nous !

Chat with our team !

Would you like to know more about our solutions ?
Do you want to discover our XDR and CTI products ?
Do you have a cyber security project in your organization ?
Make an appointment and meet us !