SIEM: защо всеки бизнес има нужда от него и как помага за NIS2

Почти всяка кибератака оставя следи: неуспешни опити за вход, непознат процес на сървър, нов администраторски акаунт, необичаен трафик през защитната стена. Проблемът е, че тези следи са разпръснати в стотици логове на десетки устройства и никой не ги гледа. Затова много компании разбират за атаката едва когато системите спрат или данните изтекат.

Точно тук помага SIEM.

Какво е SIEM

SIEM (Security Information and Event Management) е система, която събира събитията от всички ваши устройства на едно място: сървъри, компютри, защитни стени, имейл и облачни услуги. Тя ги анализира автоматично, свързва отделните сигнали в обща картина и ви предупреждава, когато нещо изглежда като атака.

С други думи, SIEM е видеонаблюдението на вашата ИТ инфраструктура, с охранител, който никога не заспива.

Защо е важен за всеки бизнес

• Видимост. Виждате какво се случва във всички системи от едно място, а не поотделно на всяко устройство.
• Ранно откриване. Подозрителни входове, атаки с отгатване на пароли и зловреден софтуер се засичат за минути, а не след седмици.
• Бързо разследване. Когато нещо се случи, знаете кой, кога, откъде и какво е направил.
• Надеждни доказателства. Логовете се пазят централизирано и защитено, така че нападател не може да заличи следите си, като ги изтрие от компрометирания компютър.
• По-малко щети. Колкото по-рано откриете атаката, толкова по-малко струва тя: по-кратък престой, по-малко изтекли данни, по-лесно възстановяване.

Защо SIEM е ключов за NIS2

Законът за киберсигурност, с който България въведе NIS2, не изисква дословно „SIEM система“. Но без централизирано наблюдение на събитията няколко от задълженията на практика са неизпълними:

• Срокът от 24 часа. При значителен инцидент трябва да изпратите ранно предупреждение до 24 часа, уведомление до 72 часа и окончателен доклад до един месец. Не можете да докладвате инцидент, който не сте забелязали, а окончателният доклад изисква точна хронология на събитията.
• Откриване и обработка на инциденти. Мерките за управление на риска включват откриване и обработка на инциденти. SIEM е инструментът, с който инцидентите се откриват.
• Изрични изисквания за логове. За цифровите доставчици, като облачни услуги, центрове за данни и управлявани ИТ услуги, Регламент за изпълнение (ЕС) 2024/2690 изрично изисква събиране на логове, редовния им преглед, автоматични аларми и определен срок за съхранение. За останалите компании той е добър ориентир какво ще очакват проверяващите.
• Доказателства пред регулатора. Отчетите и логовете показват, че мерките за сигурност реално работят, а не съществуват само на хартия. Това е важно и за ръководството, което по NIS2 носи лична отговорност.

Защо препоръчваме Wazuh

Комерсиалните SIEM системи често струват десетки хиляди евро годишно и се таксуват според броя устройства или обема данни. Затова за повечето български компании препоръчваме Wazuh, open source платформа за SIEM и XDR, която се използва от организации по целия свят.

• Без лицензионни такси. Wazuh е безплатен и с отворен код. Плащате само за сървъра и за работата по внедряване и поддръжка, а не за всеки компютър или гигабайт логове.
• Всички логове на едно място. Лек агент за Windows, Linux и macOS, плюс събиране на логове от защитни стени, мрежови устройства и облачни услуги като Microsoft 365, AWS и Azure.
• Откриване на заплахи. Готови правила, свързани с рамката MITRE ATT&CK, засичат подозрителни входове, ескалация на права и зловреден софтуер.
• Откриване на уязвимости. Показва кой софтуер има известни уязвимости (CVE) и кои системи да обновите първо.
• Контрол на файлове и настройки. Знаете кога и какво е променено в критични файлове, и дали сървърите отговарят на добрите практики за сигурност (CIS Benchmarks).
• Автоматична реакция. Може сам да блокира IP адрес или да спре процес при засечена атака.
• Отчети за съответствие. Готови табла за PCI DSS, GDPR, NIST 800-53 и други стандарти, които улесняват одитите.

Важно: инструментът сам не стига

SIEM носи стойност само ако е правилно настроен и някой реално следи алармите. Ненастроената система генерира хиляди предупреждения, които никой не чете. NIS2 изисква и политики, анализ на риска, планове за непрекъснатост и обучение. Wazuh покрива техническото наблюдение, но не всичко останало.

Как помагаме

1. Оценка. Преглеждаме инфраструктурата ви и определяме кои системи трябва да се наблюдават.
2. Внедряване. Инсталираме Wazuh във вашата среда или в нашия частен облак и свързваме сървъри, компютри, защитни стени и Microsoft 365.
3. Настройка. Настройваме правилата така, че алармите да са малко и смислени.
4. Обучение и подкрепа. Показваме на вашия екип как да работи с таблата и алармите и сме насреща, когато имате въпрос или подозирате инцидент.

Велокс е сертифицирана по ISO 27001, стандарта за информационна сигурност, върху който стъпва NIS2.

Wazuh е търговска марка на Wazuh, Inc. Велокс не е свързана с Wazuh, Inc. Тази статия е обобщение, а не правен съвет.