SIEM (Security Information and Event Management) est un outil de sécurité informatique qui sert à collecter, stocker et analyser de vastes volumes de données de journaux en provenance de toutes les sources de l’entreprise. Il sert à tirer parti de chacune de ces données (récoltées) pour identifier et analyser les évènements et incidents pouvant avoir lieu sur le réseau informatique de l’entreprise. En cas d’évènements suspects ou d’incidents identifiés, des alertes sont générées pour faciliter leurs prises en charge.
Comment fonctionne un SIEM ?
Un SIEM combine deux fonctions principales. Dans un premier temps, il collecte à partir d’une multitude d’agents les logs et données de journaux générés par les équipements de sécurité (pare-feu, antivirus ou anti-intrusions). Il collecte également ceux des systèmes hôtes des entreprises, les serveurs, les équipements réseau. Puis, il centralise toutes ces données au sein d’une console unifiée et établie, sur la base de règles, un diagnostic. Lorsqu’une alerte est levée à cause d’une activité malveillante, il évalue en fonction des règles pré-établies son niveau de gravité/priorisation dans la gestion des incidents par l’équipe SOC.
Quel SIEM choisir pour un SOC (Security Operations Center) ?
Face à la montée en puissance des attaques de ransomware et l’émergence des menaces avancées et persistantes (APT), les équipes SOC, en charge de la sécurité informatique ne peuvent plus se permettre de restreindre leurs activités à l’usage des outils SIEM. Ces outils de collecte et gestion des événements de sécurité laisse percevoir différentes limites comme le fait de :
- Submerger ses équipes SOC, d’un flux important de faux positifs, les incitant parfois à baisser le niveau de vigilance sur les menaces les plus critiques.
- Augmenter la charge de travail de son équipe d’analystes d’autant plus qu’elle doit consentir un effort d’investigation autour des alertes non contextualisées (car issues de sources non corrélées).
Pour les profils évoluant au poste de responsable SOC, RSSI, CISO, l’adoption d’un outil SIEM peut être source d’angoisse. Cela, en raison du manque de visibilité sur le coût que représenterait son déploiement. La volumétrie des données à collecter, étant très fluctuant, ils peuvent être contraints de faire un choix entre la sécurité et les données. Et pour cause, la facturation peut très vite grimper à la suite à un pic d’évènements imprévisibles.
Chez Sekoia.io, nous vous proposons l’usage de notre solution XDR. Ici, la tarification est prédictive car elle est établie en fonction du parc informatique à superviser et non des données à collecter.
Notre solution regroupe à partir d’une console unifiée, la puissance d’un SIEM, l’agilité du SaaS et l’efficacité d’un SOAR, pilotés par un renseignement déjà opérationnel.
Il apporte gain de temps et efficacité à vos analystes. Grâce à notre flux CTI natif, vos analystes disposent de nombreuses règles de détection déjà actionnables dès les premières minutes de déploiement. Ils peuvent réaliser des actions ayant une réelle valeur-ajoutée comme le fait de mener des investigations autour des alertes levées par nos règles de détection. Chaque alerte déclenchée est enrichie en combinant règles de détection basées sur la CTI, approche comportementale des menaces et moteur de corrélation SIGMA. Ce dispositif aide à réduire leurs efforts d’investigation.
Par ailleurs, une fois les connecteurs effectués, notre solution XDR ne se contente pas de superviser les logs actuels ou futurs comme le ferait, par exemple, un EDR. Il prend également en compte vos logs anciens (si ceux-ci existaient bien évidemment). Au cas où il y aurait une menace existante, une alerte est levée pour que celle-ci soit traitée par vos analystes ou bloquée par vos outils de sécurité.
Vous disposez déjà d’un outil SIEM ? Toutefois, vous hésitez à adopter un outil XDR pour diverses raisons. Nous vous invitons à consulter cette page dédiée aux cas d’usage de notre solution SEKOIA.IO XDR. Nous y abordons par la même occasion, les facilités d’intégration proposées par notre solution.
Découvrez la définition de : Cyber Threat intelligence (CTI), eXtended Detection and Response (XDR), Endpoint Detection and response (EDR), CSIRT, CERT.
Si vous consultez pour la première fois notre site web, sachez que nous sommes un éditeur de logiciels de cybersécurité. Nous fournissons aux équipes cyber et MSSP une plateforme de sécurité opérationnelle clé en main. À travers notre plateforme XDR, notre outil CTI et notre plateforme de Threat Intelligence, nous permettons à nos usagers de neutraliser les menaces informatiques, quelle que soit la surface d’attaque.
