Информационная безопасность. Как работает SIEM-система?

Информационная безопасность. Как работает SIEM-система?
Максим Якубов, "Газинформсервис"
На данном слайде представлена довольно типовая архитектура практически любой SIEM-системы.
Значит, сервер сбора событий, ну, скажем так, это своего рода фэншуйный компонент.
Да, также есть, так называемый, агент, который можно устанавливать непосредственно на источнике событий, если они это позволяют делать. Но зачастую используется единый сервер или группа серверов сбора событий, которыми, собственно, и осуществляется сбор событий со всех источников событий.
Дальше эти события нормализуются, скажем так, потому что события – они в разном формате, эти события разные по объему, их всех нужно привести к единому виду, чтобы SIEM-система могла эффективно и быстро их обрабатывать.
После того, как события собраны, нормализованы, они отправляются на сервер управления событиями – то есть непосредственно здесь, на этом компоненте и происходит корреляция событий, их анализ, ну, и скажем так, диагноз того, что это за событие.

Давайте общаться: