SIEM là gì? Hướng dẫn cho người mới bắt đầu

Câu trả lời trực tiếp

Một công cụ SIEM (Security Information and Event Management) thu thập dữ liệu log từ các hệ thống của một tổ chức - máy chủ, tường lửa, laptop, ứng dụng - vào một nơi duy nhất, và đánh dấu các mẫu trông đáng ngờ để một người có thể điều tra. Nếu bạn đang học an ninh mạng và hướng tới vị trí SOC analyst, việc hiểu SIEM không phải là nền tảng tùy chọn - nó là công cụ duy nhất mà bạn sẽ dành nhiều thời gian nhất, từ ngày đầu tiên công việc.

Hãy nghĩ về nó như thế này: mỗi hệ thống trong mạng tạo ra nhật ký sự kiện của riêng nó - ai đã đăng nhập, tệp nào được truy cập, kết nối nào được thực hiện. Riêng lẻ, hàng nghìn mục nhập này mỗi phút vô dụng đối với con người. SIEM kéo chúng tất cả lại với nhau, áp dụng các quy tắc để phát hiện các mẫu đáng xem (đăng nhập từ một quốc gia bất thường, mười mật khẩu không thành công liên tiếp, truyền tệp lớn lúc 3 giờ sáng), và biến chúng thành cảnh báo mà SOC analyst có thể thực sự xử lý.

Cách SIEM thực sự hoạt động, từng bước

1. Collection - dữ liệu log chảy vào từ tường lửa, máy chủ, endpoint, dịch vụ đám mây và ứng dụng trên toàn tổ chức.
2. Normalisation - SIEM chuyển đổi tất cả các định dạng log khác nhau thành một cấu trúc nhất quán mà nó có thể tìm kiếm và so sánh.
3. Correlation - các quy tắc so sánh các sự kiện với nhau (và với các mẫu xấu đã biết) để phát hiện những điều mà một dòng log đơn lẻ sẽ không tiết lộ.
4. Alerting - bất cứ điều gì phù hợp với một quy tắc (hoặc một bất thường thống kê) tạo ra một cảnh báo để một người phân loại.
5. Investigation - một SOC analyst (xem SOC analyst làm gì) xem xét cảnh báo, kéo các log liên quan, và quyết định xem nó là dương tính giả hay sự cố thực sự.
6. Response and tuning - các sự cố thật sự được chuyển lên; các dương tính giả phản hồi lại để tinh chỉnh các quy tắc để không lặp lại cùng một nhiễu.

Các công cụ SIEM phổ biến mà bạn sẽ gặp

Công cụ	Nơi bạn sẽ gặp nó	Chi phí để học
Splunk	Được sử dụng rộng rãi trong các SOC doanh nghiệp	Free trial/dev license available
Microsoft Sentinel	Phổ biến trong các môi trường nặng Microsoft/Azure	Xem SC-200 exam guide nếu bạn đi theo hướng này
Elastic (ELK stack)	Tùy chọn open-source phổ biến, được sử dụng cả trong thương mại lẫn cho home lab	Free, self-hosted
Wazuh	Open-source, thân thiện với người mới bắt đầu cho home lab	Free
IBM QRadar	Phổ biến trong các môi trường doanh nghiệp lớn hơn	Tùy chọn miễn phí hạn chế

Nhằm mục đích học tập, Wazuh hoặc stack Elastic là những điểm khởi đầu thực tế nhất - cả hai đều miễn phí để chạy tại nhà và cung cấp cho bạn trải nghiệm thực tế của việc viết quy tắc phát hiện và điều tra cảnh báo, thay vì chỉ đọc về nó.

Tôi nói với học sinh của mình điều gì

Đừng cố gắng tìm hiểu tất cả các nền tảng SIEM. Nhà tuyển dụng quan tâm hơn nhiều rằng bạn hiểu khái niệm - SIEM đang làm gì và tại sao - hơn là bạn đã sử dụng thương hiệu cụ thể nào, bởi vì mỗi công việc SOC sẽ đào tạo bạn về công cụ cụ thể của họ. Những gì họ không thể dễ dàng đào tạo bạn nhanh chóng là logic cơ bản: tại sao một trình tự sự kiện nhất định là đáng ngờ, cách đọc một dòng log thô, cách phân biệt tương quan từ sự trùng hợp. Lấy điều đó từ một công cụ miễn phí tại nhà, và bạn có thể bước vào một cuộc phỏng vấn và nói thuyết phục về Splunk hoặc Sentinel ngay cả khi bạn chưa bao giờ chạm vào cái nào, bởi vì các khái niệm được truyền trực tiếp.

Điều khác tôi thúc đẩy học sinh: thiết lập một home lab nhỏ thực sự thay vì đọc về SIEM một cách trừu tượng. Cài đặt Wazuh hoặc Security Onion trên một máy dự phòng hoặc một máy ảo, tạo ra một số hoạt động cơ bản (một vài nỗ lực đăng nhập, một số truy cập tệp), và thực hành viết một quy tắc phát hiện đơn giản cho riêng bạn. Nhà tuyển dụng nhận thấy sự khác biệt giữa "Tôi đã đọc về SIEM" và "Tôi đã xây dựng một và điều tra cảnh báo thử nghiệm của riêng tôi" trong vài phút đầu tiên của cuộc phỏng vấn.

Một dự án đầu tiên đơn giản để thử

1. Cài đặt Wazuh (hoặc Security Onion) trong một máy ảo - cả hai đều có hướng dẫn thiết lập miễn phí từ tài liệu chính thức, vì vậy hãy kiểm tra trang chính thức để biết các bước cài đặt hiện tại thay vì một bài đăng blog lỗi thời.
2. Trỏ nó tới một vài nguồn log thử nghiệm - các sự kiện đăng nhập của chính laptop bạn là một điểm khởi đầu tốt.
3. Kích hoạt một vài sự kiện rõ ràng đáng ngờ cho riêng bạn - chẳng hạn như nhiều lần đăng nhập không thành công liên tiếp.
4. Xem cách SIEM hiển thị (hoặc không hiển thị) hoạt động đó, và điều tra lý do tại sao.
5. Viết một ghi chú ngắn gọn về những gì bạn đã làm và những gì bạn đã học - điều này trở thành tài liệu phỏng vấn thực sự.

Loại dự án nhỏ, trung thực này chính xác là loại thứ đáng nói qua với một người hướng dẫn nếu bạn gặp khó khăn - kiểm tra pricing và chúng ta có thể xử lý thiết lập lab đầu tiên của bạn cùng nhau.

FAQ

Tôi có cần học một SIEM cụ thể trước khi nộp đơn cho các công việc SOC không?

Không - hiểu rõ khái niệm chung và đã thực hành trên bất kỳ SIEM miễn phí nào (Wazuh, Elastic) đủ cho các vị trí cấp nhập cảng. Nhà tuyển dụng đào tạo bạn về nền tảng cụ thể của họ.

SIEM có giống như tường lửa không?

Không. Tường lửa kiểm soát lưu lượng ra vào mạng dựa trên các quy tắc; SIEM thu thập và phân tích dữ liệu log từ nhiều nguồn, bao gồm tường lửa, để phát hiện các mẫu đáng ngờ trên toàn bộ môi trường.

Chi phí bao nhiêu để thực hành với SIEM tại nhà?

Miễn phí, nếu bạn sử dụng một tùy chọn open-source như Wazuh hoặc stack Elastic trên phần cứng của riêng bạn hoặc một máy ảo miễn phí. Bạn không cần phải trả tiền cho giấy phép SIEM thương mại để xây dựng trải nghiệm thực tế, có thể nói.

Kiến thức SIEM được đề cập trong Security+ không?

Có, ở cấp khái niệm - Security+ bao gồm các khái niệm quản lý log và giám sát nói chung, mặc dù nó sẽ không dạy bạn một nền tảng SIEM cụ thể sâu sắc. Xem Security+ SY0-701 study guide của tôi để biết những gì thực sự có trong chương trình.