SIEM – co to jest, jak działa i kiedy firma go potrzebuje

SIEM (Security Information and Event Management) to system, który zbiera zapisy zdarzeń z serwerów, komputerów, urządzeń sieciowych i usług chmurowych, sprowadza je do wspólnego formatu, zestawia ze sobą zdarzenia z różnych źródeł i podnosi alarm, gdy ich kombinacja wskazuje na atak. Pojedynczy zapis rzadko coś znaczy. Znaczenie ma dopiero sekwencja.
Rozwinięcie skrótuSecurity Information and Event Management
Do czego służyWykrywanie ataku w toku i materiał dowodowy po zdarzeniu
Podstawa prawnaMonitorowanie w trybie ciągłym – art. 8 ust. 1 pkt 2 lit. g ustawy o KSC
Warunek skutecznościKtoś musi czytać alerty. Sam system niczego nie zatrzyma

Jak SIEM działa krok po kroku

  1. ZbieranieAgent na serwerze, protokół syslog z urządzenia sieciowego albo interfejs programistyczny usługi chmurowej przesyłają zapisy zdarzeń do jednego miejsca.
  2. NormalizacjaKażde źródło zapisuje inaczej. System sprowadza wszystko do wspólnego formatu i wspólnej osi czasu – dlatego zegary urządzeń muszą być zsynchronizowane, inaczej korelacja jest bezwartościowa.
  3. KorelacjaReguły i wzorzec normalnego zachowania łączą zdarzenia z różnych źródeł. Nieudane logowanie to nic. Czterdzieści nieudanych logowań, po nich jedno udane, a zaraz potem połączenie z serwerem w obcym kraju – to już zdarzenie.
  4. Alert i priorytetSystem nadaje wagę i przekazuje sprawę człowiekowi. Bez strojenia reguł generuje setki fałszywych alarmów dziennie i zostaje wyciszony – to najczęstsza przyczyna, dla której wdrożenia SIEM kończą się porażką.
  5. Reakcja i dowódZebrane zapisy pozwalają odtworzyć przebieg zdarzenia: kiedy zaczął się atak, którędy weszli, co zabrali. Bez nich zgłoszenie incydentu opiera się na domysłach.

Co SIEM zbiera i co dzięki temu widzi

Źródło Przykładowe zdarzenie Co pozwala wykryć
Kontroler domeny, Entra ID Seria nieudanych logowań, logowanie z nowego kraju Atak słownikowy, przejęcie konta
Stacje robocze (agent EDR) Uruchomienie powłoki z zakodowanym poleceniem Fazę wykonania ataku na urządzeniu
Zapora, urządzenie brzegowe Ruch do znanego serwera sterującego Łączność zainfekowanej stacji z atakującym
Serwer plików Tysiące zmian nazw plików w kilka minut Trwające szyfrowanie ransomware
Microsoft 365 Nowa reguła przekierowania poczty na zewnątrz Przejęcie skrzynki, przygotowanie oszustwa na fakturę
System kopii zapasowych Nieudane zadanie, próba usunięcia punktów przywracania Sabotaż kopii przed właściwym atakiem
Dostęp zdalny, VPN Logowania z dwóch odległych krajów w kilkanaście minut Niemożliwą podróż, czyli skradzione konto

Dlaczego monitorowanie ma sens – przebieg typowego ataku

Etap 1WejściePhishing, wykradzione hasło albo luka w usłudze wystawionej do internetu
Etap 2RozpoznanieSkanowanie sieci, wykaz udziałów, szukanie kont uprzywilejowanych
Etap 3EskalacjaPrzejęcie konta administratora, rozejście się po kolejnych maszynach
Etap 4Sabotaż kopiiUsunięcie punktów przywracania, wyłączenie ochrony
Etap 5SzyfrowanieWłaściwy atak i żądanie okupu – moment, w którym firma się orientuje

Cała wartość monitorowania leży w etapach od drugiego do czwartego. Szyfrowanie trwa godziny, ale to, co je poprzedza, rozciąga się zwykle na dni lub tygodnie. Firma bez monitorowania dowiaduje się o ataku dopiero na etapie piątym, gdy nie ma już czego bronić.

SIEM, EDR, XDR i SOC – co jest czym

Pojęcie Czym jest Gdzie działa Co robi
SIEM System zbierania i korelacji zapisów zdarzeń Centralnie, ponad całą infrastrukturą Łączy zdarzenia z wielu źródeł i podnosi alarm
EDR Agent zainstalowany na urządzeniu Na stacji roboczej i serwerze Wykrywa i zatrzymuje szkodliwe zachowanie procesu, także bez sygnatury
XDR Rozszerzenie EDR o pocztę, tożsamość i chmurę Kilka warstw jednego dostawcy Koreluje w obrębie własnego ekosystemu, bez obcych źródeł
SOC Zespół ludzi, własny lub kupiony jako usługa Obsługuje wszystkie powyższe Czyta alerty, odsiewa fałszywe i reaguje – także w nocy

Kolejność wdrażania jest odwrotna do porządku alfabetycznego. Najpierw EDR na wszystkich urządzeniach, bo on realnie zatrzymuje atak. Dopiero potem SIEM, który widzi całość, ale sam nie interweniuje. SOC ma sens wtedy, gdy jest co obsługiwać.

Kiedy SIEM się opłaca

Skala firmy Co wystarcza Czy SIEM ma sens
Do 25 stanowisk EDR z konsolą i powiadomieniami, uwierzytelnianie wieloskładnikowe, kopie zapasowe z testem odtworzenia Nie – koszt i nakład pracy przewyższają korzyść
25–100 stanowisk Powyższe plus SIEM w wersji chmurowej podpięty do kluczowych źródeł: katalog tożsamości, poczta, zapora, kopie zapasowe Tak, ograniczony do źródeł, które naprawdę coś wnoszą
Powyżej 100 stanowisk albo podmiot objęty ustawą o KSC SIEM z pełnym zestawem źródeł i obsługa całodobowa Tak – przy tej skali brak monitorowania jest trudny do obrony

Czego SIEM nie zrobi

Częste nieporozumienia

  • Nie zastąpi kopii zapasowej. Wykryje, że ktoś usuwa punkty przywracania. Nie odtworzy danych.
  • Nie zastąpi EDR. SIEM opisuje, EDR zatrzymuje. To dwie różne funkcje.
  • Nie działa bez ludzi. Alert, którego nikt nie przeczytał, jest wpisem w bazie danych, nie ochroną.
  • Nie zobaczy tego, czego nie zbiera. Źródło niepodłączone do systemu jest dla niego niewidzialne.
  • Nie działa od pierwszego dnia. Bez kilku tygodni strojenia produkuje szum, który wszyscy przestają czytać.
Co mówią przepisy

Ustawa o krajowym systemie cyberbezpieczeństwa nakłada obowiązek stosowania środków obejmujących monitorowanie w trybie ciągłym – art. 8 ust. 1 pkt 2 lit. g.

Przepis nie wskazuje narzędzia, tylko funkcję. W małej organizacji realizuje ją EDR z konsolą i obsługiwanymi powiadomieniami. W średniej i dużej sprowadza się to praktycznie do systemu klasy SIEM, bo żadne pojedyncze narzędzie nie widzi jednocześnie tożsamości, poczty, sieci i kopii zapasowych.

Drugą podstawą jest RODO. Art. 32 ust. 1 lit. b wymaga zdolności do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów, a art. 33 ust. 1 nakazuje zgłoszenie naruszenia organowi nadzorczemu bez zbędnej zwłoki, nie później niż w terminie 72 godzin od jego stwierdzenia. Zgłoszenie wymaga opisu zdarzenia i skutków – bez zapisów zdarzeń nie da się go rzetelnie sporządzić.

Ustawa o krajowym systemie cyberbezpieczeństwa; rozporządzenie 2016/679 (RODO).

Najczęstsze pytania

Czy SIEM jest obowiązkowy?

Żaden przepis nie nakazuje kupna systemu SIEM. Nakazuje monitorowanie w trybie ciągłym. Jeżeli organizacja potrafi wykazać, że realizuje tę funkcję inaczej, wymóg jest spełniony. Przy większej skali argument ten robi się trudny do utrzymania.

Co wdrożyć najpierw: EDR czy SIEM?

EDR. Zatrzymuje atak na urządzeniu i działa od razu po instalacji. SIEM daje obraz całości, ale sam nie interweniuje i wymaga tygodni strojenia. Odwrotna kolejność to typowy błąd wdrożeniowy.

Jak długo przechowywać zapisy zdarzeń?

Przepisy nie podają jednej liczby. W praktyce przyjmuje się kilka miesięcy w dostępie bieżącym i dłuższy okres w archiwum, ponieważ atak bywa wykryty długo po wejściu napastnika do sieci. Zapisy warto trzymać tam, gdzie napastnik ich nie skasuje razem z resztą.

Czy SIEM wykryje ransomware?

Wykryje przygotowania: rozpoznanie sieci, przejęcie kont, usuwanie kopii. Samo szyfrowanie zatrzymuje EDR, a odtworzenie danych zależy wyłącznie od kopii zapasowej. Te trzy elementy uzupełniają się i żaden nie zastąpi pozostałych.

Ile trwa wdrożenie?

Podłączenie źródeł to zwykle kilka tygodni. Doprowadzenie reguł do stanu, w którym alertów jest niewiele i każdy coś znaczy, trwa dłużej i nigdy się nie kończy – reguły trzeba dostrajać wraz ze zmianami w infrastrukturze.

Nie wiesz, czy Twoja firma potrzebuje SIEM?

Zaczynamy od sprawdzenia, co już masz. Zwykle okazuje się, że wcześniej warto domknąć kopie zapasowe i ochronę stacji, a monitorowanie ma sens dopiero potem.

Porozmawiajmy o monitorowaniu Sprawdź, czy podlegasz ustawie

Powiązane pojęcia i narzędzia

EDR
Test NIS2
Zgłoszenie incydentu
Cyberbezpieczeństwo dla firm