คืออะไร SIEM
การจัดการข้อมูลและเหตุการณ์ความปลอดภัย
SIEM (Security Information and Event Management) คือระบบสำหรับการรวบรวม วิเคราะห์ และเชื่อมโยงเหตุการณ์ด้านความปลอดภัยจากแหล่งต่างๆ แบบรวมศูนย์เพื่อตรวจจับภัยคุกคาม
ฟังก์ชันหลัก
- รวบรวมล็อก — รวมเหตุการณ์จากทุกระบบ
- Normalization — แปลงเป็นรูปแบบเดียวกัน
- Correlation — หาความสัมพันธ์ระหว่างเหตุการณ์
- การแจ้งเตือน — แจ้งเตือนเกี่ยวกับกิจกรรมที่น่าสงสัย
แหล่งข้อมูล
- อุปกรณ์เครือข่าย (ไฟร์วอลล์, IDS/IPS)
- เซิร์ฟเวอร์และเวิร์กสเตชัน
- แอปพลิเคชันและฐานข้อมูล
- บริการคลาวด์
โซลูชัน SIEM ยอดนิยม
- Splunk — ผู้นำตลาดองค์กร
- Elastic SIEM — บน ELK Stack
- Microsoft Sentinel — SIEM บนคลาวด์
- IBM QRadar — โซลูชันองค์กร
ประโยชน์ของการนำไปใช้
- การตรวจสอบความปลอดภัยแบบรวมศูนย์
- การตรวจจับเหตุการณ์อย่างรวดเร็ว
- การปฏิบัติตามกฎระเบียบ
- การตอบสนองอัตโนมัติ (SOAR)