SIEM là gì?
SIEM (Security Information and Event Management) là giải pháp tập trung thu thập, chuẩn hóa, liên kết (correlate), phân tích và lưu trữ dữ liệu nhật ký (log) từ hàng ngàn nguồn trên hạ tầng IT – để phát hiện mối đe dọa real-time, điều tra sự cố, tuân thủ kiểm toán.
Tại sao SIEM quan trọng? (5 Lý do cốt lõi)
- Visibility tập trung (Centralized Visibility): Gom log từ firewall, IDS/IPS, server, AD, DNS, proxy, cloud, endpoint, application → một màn hình (single pane of glass). Không còn "silos" log phân mảnh.
- Phát hiện mối đe dọa nâng cao (Advanced Threat Detection): Correlation rule, behavioral analytics (UEBA), machine learning tìm ra pattern tấn công mà từng log riêng lẻ không thấy (brute-force thấp dần, lateral movement, data exfiltration, insider threat).
- Tuân thủ & Báo cáo (Compliance & Reporting): Tự động sinh báo cáo đáp ứng PCI-DSS (10.2.1, 10.5.5), HIPAA, GDPR, ISO 27001, SOX – bằng chứng log retention, access review, incident timeline.
- Giảm MTTD/MTTR (Mean Time To Detect/Respond): Alert real-time + enrichment (threat intel, asset context) + SOAR playbook → containment trong phút thay vì giờ/ngày.
- Threat Hunting & Forensics: Truy vấn lịch sử (raw log + enriched) để tìm IOC, TTPs (MITRE ATT&CK), root cause analysis sau breach.
Chức năng cốt lõi (Core Functions)
| Mô tả | |
|---|---|
| Collection | Agent, syslog, API, Cloud connector, Windows Event Forwarding, NetFlow, PCAP |
| Normalization / Parsing | Chuyển log thô → schema chung (CEF, ECS, OCSF) – field chuẩn: timestamp, src/dst IP, user, process, event ID |
| Enrichment | Gắn thêm: GeoIP, ASN, Threat Intel (malicious IP/hash/domain), Asset CMDB, Vuln scan result |
| Correlation / Analytics | Rule-based (if X then Y), Statistical (outlier), ML/UEBA (behavior baseline), MITRE ATT&CK tagging |
| Alerting | Real-time notification (email, Slack, Teams, PagerDuty, ServiceNow ticket) với severity, context, runbook link |
| Dashboard & Reporting | Executive (risk score), Operational (alert volume, MTTD), Compliance (PCI, HIPAA), Threat Landscape |
| Retention & Archive | Hot (SSD, 30-90 ngày) → Warm (object storage, 1-3 năm) → Cold (Glacier, 7-10 năm) – tuân thủ pháp lý |
| Integration (SOAR/API) | Auto-block IP (firewall), disable user (AD), isolate host (EDR), enrich ticket, case management |
SIEM có thể phát hiện gì? (Use Cases)
- Brute-force / Password spray (4625, 4771, 4776 pattern).
- Privilege escalation (4672, 4728, 4732, 4756).
- Lateral movement (PsExec, WMI, SMB, RDP, Pass-the-Hash).
- Data exfiltration (large upload, unusual port, cloud storage upload).
- Malware C2 beaconing (periodic DNS/HTTP, DGA).
- Insider threat (off-hours access, bulk download, USB copy).
- Cloud misconfiguration (public S3, security group 0.0.0.0/0, IAM over-permission).
Top SIEM Platforms (2024)
- Splunk Enterprise Security (Leader Gartner, SPL query mạnh, licensing theo GB/day).
- Microsoft Sentinel (Cloud-native, KQL, tích hợp sâu Microsoft 365/Defender/Azure, pay-as-you-go).
- Elastic Security (ELK) (Open core, flexible, on-prem/cloud, Kibana).
- IBM QRadar (Appliance/Software, strong correlation, DSM parser nhiều).
- CrowdStrike Falcon LogScale (Humio) (Index-free, cloud-native, high compression).
- LogRhythm NextGen SIEM, FortiSIEM, Securonix, Exabeam, Sumo Logic.
Thách thức triển khai SIEM
- Chi phí cao (license, ingest volume, storage, nhân sự SOC 24/7).
- Tuning rule liên tục (false positive/negative).
- Data quality: log thiếu, không chuẩn, timestamp sai múi giờ.
- Kỹ năng thiếu: KQL/SPL, threat hunting, detection engineering.
Kết luận
SIEM là "trung thần kinh" của Security Operations. Không có SIEM → mù loà trước mối đe dọa phức tạp, không đáp ứng được compliance, phản ứng chậm. Đầu tư SIEM phải đi kèm nguội lực người (SOC analyst, detection engineer), quy trình (runbook, playbook) và threat intelligence mới tạo ra giá trị thực.