Centralized logging + SIEM

Събиране, нормализиране и корелация на security telemetry.

Identity, endpoint, network, cloud, app и security logs се събират на място, което attacker на отделен host не може лесно да изтрие.

SIEM има стойност, ако:

1. правилните logs стигат до него;
2. има use cases;
3. някой гледа alerts;
4. има response authority;
5. data retention е достатъчна за investigation.

Password spraying се вижда като много failed logins към различни accounts от общ source/pattern. На отделен user login може да изглежда безобидно; корелацията прави pattern-а видим.

Изберете пет критични detection scenarios и проследете „event → ingestion → detection → alert → analyst → action“. Един скъсан етап прави останалите декоративни.

• Central immutable-ish log pipeline.
• Authentication success/failure.
• Authorization failures.
• Privileged actions.
• Cloud control plane.
• EDR/network detections.
• Time synchronization.

„Имаме SIEM“ без use cases, owners и response процес е скъп архив.