ДОСЛІДЖЕННЯ СУЧАСНОГО СТАНУ SIEM-СИСТЕМ

Анотація

У даній роботі проведено дослідження SIEM-систем, актуальність застосування яких значно виросла під час повномасштабного вторгнення росії в Україну. Було вирішено завдання з пошуку найбільш оптимальних рішень відповідно до наступних критеріїв: зручність використання, здатність інтегруватися з іншими рішеннями захисту, цінова політика та особливості. Для цього у роботі розглянуто загальний опис будови та принцип функціонування системи SIEM, визначені можливості та особливості сучасних SIEM-систем, проведено дослідження наступного програмного забезпечення (ПЗ): Splunk Enterprise Security (Splunk), Elastic Security, IBM QRadar SIEM, Wazuh SIEM, Microsoft Sentinel. У результаті дослідження виявлено наступне: сучасні SIEM-рішення дозволяють автоматизувати частину процесів з виявлення та реагування на події безпекового характеру, дозволяють брати під контроль гібридні типи інфраструктури, які можуть включати хмарні середовища, системи віртуалізації та контейнеризації, робочі станції та інші корпоративні пристрої. Вони реалізуються як у вигляді розгортання своїх рішень на власних потужностях, так і у вигляді оренди відповідних ресурсів, надаючи послугу Software-as-a-Service. При цьому наявність великої кількості інтеграцій з різноманітними пакетами ПЗ та системами дозволяє SIEM стежити за відповідністю наявного стану кіберзахисту інформаційної інфраструктури організації певним міжнародним стандартам, як то ISO 27001, GDPR чи PCI DSS. Визначено, що у сучасних SIEM для виявлення аномалій у поведінці систем та користувачів, а також для пріоритизації виявлених вразливостей та пропонування кроків щодо покращення стану кіберзахисту використовуються досягнення у сферах машинного навчання та штучного інтелекту. Розглянуті рішення працюють сумісно з іншими сучасними системами, як то SOAR чи EDR/XDR, що підвищує ефективність SIEM-систем та, як наслідок, операційних центрів безпеки, тому, на думку авторів, відповідні технології заслуговують на подальше дослідження.