Aký je rozdiel medzi SIEM, EDR a SOC?

EDR poskytuje detailný pohľad na dianie na koncových zariadeniach, SIEM spája bezpečnostné udalosti z viacerých častí prostredia a SOC zabezpečuje ľudí a procesy, ktoré tieto informácie vyhodnocujú a premieňajú na reakciu.

Rozdiel je dôležitý najmä vo chvíli, keď firma už nechce útokom iba predchádzať, ale potrebuje ich aj včas odhaliť. Firewall blokuje podozrivú komunikáciu. E-mailová ochrana filtruje správy. MFA komplikuje zneužitie hesla. Antivírus alebo EDR sleduje dianie na pracovných staniciach.

Každá z týchto vrstiev rieši určitú časť bezpečnosti. Problém nastáva vo chvíli, keď sa útok napriek preventívnym opatreniam dostane ďalej. Vtedy už nestačí vedieť, že jednotlivé nástroje fungujú. Potrebné je zistiť:

• čo sa vo firemnom prostredí práve deje,
• či spolu jednotlivé udalosti súvisia,
• ktoré zariadenia alebo účty sú dotknuté,
• aký je potenciálny rozsah incidentu,
• a čo treba urobiť.

Práve v tejto oblasti sa stretávajú EDR, SIEM a SOC.

EDR, SIEM a SOC v jednej tabuľke

Najjednoduchšie možno rozdiel zhrnúť takto:

Vrstva	Hlavná úloha	Typický pohľad
EDR	Deteguje a rieši hrozby na koncových zariadeniach	Notebook, server, pracovná stanica
SIEM	Zbiera a prepája bezpečnostné udalosti	Celé IT prostredie
SOC	Analyzuje udalosti a koordinuje reakciu	Incident a jeho dopad

 

EDR a SIEM sú technológie. SOC je prevádzkový model postavený na ľuďoch, procesoch a technológiách. Rozdiel medzi nimi preto nie je otázkou toho, ktoré riešenie je „lepšie“. Každé rieši inú časť bezpečnostného problému.

Čo je EDR

EDR znamená Endpoint Detection and Response. Koncovým zariadením môže byť napríklad:

• notebook,
• pracovná stanica,
• server,
• virtuálny systém,
• alebo iné koncové zariadenie podporované konkrétnym riešením.

EDR priebežne sleduje aktivitu na zariadení a hľadá správanie, ktoré môže súvisieť s kybernetickým útokom. Na rozdiel od tradičného prístupu založeného iba na porovnávaní súborov so známym malvérom môže EDR sledovať aj to, čo procesy a používateľské účty na zariadení robia.

Môže zaznamenať napríklad:

• spustenie neobvyklého procesu,
• pokus o manipuláciu so systémovými súbormi,
• spustenie skriptu,
• komunikáciu so škodlivou infraštruktúrou,
• zmenu bezpečnostnej konfigurácie,
• alebo správanie súvisiace so šifrovaním veľkého množstva súborov.

Práve monitoring správania zariadení a možnosť reakcie na úrovni koncových zariadení patria medzi základné funkcie.

EDR dokáže reagovať priamo na zariadení

Dôležitá časť názvu EDR je Response. Pri potvrdenej alebo dostatočne rizikovej aktivite môže riešenie podľa svojich možností a konfigurácie napríklad:

• zastaviť proces,
• umiestniť súbor do karantény,
• izolovať zariadenie od siete,
• zablokovať ďalšiu aktivitu,
• alebo poskytnúť analytikovi detailné údaje na vyšetrovanie.

To má význam napríklad pri ransomvéri. Ak sa na jednej pracovnej stanici začne správanie typické pre škodlivý kód, včasná detekcia a izolácia zariadenia môže obmedziť ďalšie šírenie útoku. Samotná ochrana koncových zariadení však nenahrádza zálohovanie, segmentáciu, riadenie prístupov ani pripravenú reakciu, ktoré sú dôležité aj pri prevencii a riešení ransomvérového incidentu.

Čo EDR nevidí

Silnou stránkou EDR je detailný pohľad na koncové zariadenie. To je zároveň jeho prirodzené ohraničenie. Bezpečnostný incident môže zahŕňať aj udalosti mimo samotného zariadenia:

• prihlásenie do cloudovej aplikácie,
• zmenu oprávnení používateľa,
• aktivitu na firewalle,
• udalosť v databáze,
• zmenu pravidiel v e-mailovej schránke,
• prístup cez VPN,
• alebo komunikáciu medzi viacerými systémami.

Na jednom notebooku môže všetko vyzerať relatívne normálne, ale v širšom kontexte môže byť správanie podozrivé. A práve tu vzniká potreba SIEM.

Čo je SIEM

SIEM znamená Security Information and Event Management. Jeho úlohou je vytvoriť spoločný pohľad na bezpečnostné udalosti, ktoré vznikajú v rôznych častiach firemného prostredia. Dáta môže získavať napríklad z:

• EDR,
• firewallov,
• serverov,
• identity systémov,
• cloudových služieb,
• VPN,
• databáz,
• aplikácií,
• e-mailovej infraštruktúry,
• ďalších bezpečnostných technológií.

Hodnota SIEM preto nespočíva iba v tom, že zhromaždí veľké množstvo logov. Kľúčové je, že dokáže medzi udalosťami vytvárať súvislosti.

SIEM spája udalosti, ktoré samostatne nemusia vyzerať nebezpečne

Bezpečnostný incident môže pozostávať z viacerých menších udalostí. Napríklad:

Zdroj	Udalosť
Identity systém	Prihlásenie z nového zariadenia
E-mail	Vytvorenie pravidla na preposielanie
Cloud	Neobvyklé sťahovanie dokumentov
EDR	Spustenie administrátorského nástroja
Firewall	Komunikácia s rizikovou doménou

 

Každý z týchto záznamov môže samostatne vzniknúť aj pri legitímnej činnosti. V kombinácii však môžu vytvárať obraz kompromitovaného účtu alebo prebiehajúceho útoku. SIEM preto umožňuje klásť širšiu otázku:

Čo sa deje naprieč prostredím, nie iba na jednom zariadení?

Táto viditeľnosť je dôležitá aj pri bezpečnostnom modeli, v ktorom vnútorná sieť sama osebe nie je dôvodom na dôveru. Zero Trust prístup pracuje práve s priebežným overovaním identity, zariadenia, oprávnení a kontextu namiesto implicitnej dôvery založenej iba na umiestnení používateľa v sieti.

EDR môže byť jedným zo zdrojov pre SIEM

EDR a SIEM preto nie sú konkurenčné riešenia. EDR môže byť jedným z najhodnotnejších zdrojov dát pre SIEM. Príklad: EDR zaznamená, že na notebooku bol spustený neobvyklý PowerShell skript. Samotná udalosť môže byť legitímnou administrátorskou činnosťou. SIEM však môže súčasne vidieť, že:

• používateľ sa krátko predtým prihlásil z neobvyklej lokality,
• jeho účet získal nové oprávnenie,
• rovnaké zariadenie začalo komunikovať s rizikovou IP adresou,
• a následne došlo k prístupu k veľkému množstvu dát.

Význam EDR udalosti sa tým mení. EDR poskytuje detail. SIEM poskytuje širší kontext.

Ani SIEM však nerozhoduje vo vákuu

Centralizované logy, korelačné pravidlá a detekcie dokážu vytvoriť upozornenie. Alert však nie je automaticky incident. Podozrivé prihlásenie môže byť používateľ na služobnej ceste. Administrátorský nástroj môže byť spustený oprávnene. Veľký prenos dát môže súvisieť so zálohou. Bez kontextu organizácie môže bezpečnostná technológia iba upozorniť, že sa udialo niečo neobvyklé. Niekto ešte musí rozhodnúť:

• či je aktivita legitímna,
• aký môže mať dopad,
• čo jej predchádzalo,
• či útok pokračuje,
• a či treba zasiahnuť.

Tým vzniká tretia vrstva: SOC.

Čo je SOC

SOC znamená Security Operations Center – bezpečnostné operačné centrum. Na rozdiel od EDR a SIEM nejde iba o technologický produkt. SOC prepája:

• bezpečnostných analytikov,
• detekčné a reakčné procesy,
• SIEM,
• EDR,
• ďalšie bezpečnostné nástroje,
• informácie o firemnom prostredí,
• eskalačné postupy.

Úlohou SOC je premeniť bezpečnostné signály na rozhodnutie a následnú reakciu.

Technický alert typu: „Suspicious authentication activity – High“

tak musí analytik zasadiť do kontextu: účet patrí finančnému manažérovi, prihlásenie prišlo z nového zariadenia, po ňom vzniklo pravidlo na preposielanie e-mailov a následne došlo k prístupu k fakturačným dokumentom.

Až druhá informácia umožňuje rozhodovať o reálnom riziku. Mechanizmus od alertu cez triage až po vyšetrovanie a reakciu je podstatou fungovania bezpečnostného operačného centra, teda toho, čo sa deje v SOC aj mimo bežného pracovného času.

EDR, SIEM a SOC pri jednom incidente

Rozdiel medzi tromi vrstvami najlepšie ukáže jeden spoločný scenár.

Krok 1: kompromitovaný používateľ

Phishingom dôjde k získaniu prístupu k používateľskému účtu. Samotná ochrana heslom už útok nezastavila. Pri citlivejších účtoch preto záleží aj na tom, akú úroveň ochrany poskytuje konkrétny spôsob viacfaktorového overovania, pretože SMS, OTP, push a autentifikácia odolná voči phishingu neodolávajú rovnakým scenárom útoku.

Krok 2: útočník sa dostane na zariadenie

Na pracovnej stanici začne spúšťať nástroje alebo skripty, ktoré nie sú pre daného používateľa bežné. EDR túto aktivitu zaznamená a môže na ňu reagovať na úrovni zariadenia.

Krok 3: aktivita pokračuje naprieč prostredím

Účet pristupuje k ďalším aplikáciám. Objavujú sa nové autentifikačné udalosti, zmeny oprávnení a sieťová komunikácia. SIEM spája udalosti z EDR, identity, firewallu, serverov a cloudu.

Krok 4: vznikne bezpečnostný alert

Kombinácia udalostí prekročí definovaný prah alebo zodpovedá detekčnému pravidlu. SIEM vytvorí upozornenie.

Krok 5: analytik preverí súvislosti

SOC zistí:

• čo sa stalo,
• ktorých účtov a systémov sa problém týka,
• či aktivita pokračuje,
• a aký môže byť dopad.

Krok 6: nasleduje reakcia

Podľa situácie môže byť potrebné:

• izolovať zariadenie,
• zablokovať účet,
• ukončiť aktívne relácie,
• odobrať oprávnenia,
• zablokovať škodlivú komunikáciu,
• alebo rozšíriť vyšetrovanie na ďalšie systémy.

EDR, SIEM a SOC sa teda v tomto scenári navzájom nenahrádzajú. Každá vrstva pridáva inú schopnosť.

Kto čo robí

Situácia	Primárna vrstva	Prečo
Škodlivý proces na notebooku	EDR	Vidí aktivitu koncového zariadenia
Udalosti z desiatok systémov	SIEM	Centralizuje a koreluje dáta
Posúdenie alertu	SOC	Pridáva ľudský a firemný kontext
Izolácia notebooku	EDR / SOC	Technická reakcia + rozhodnutie
Analýza celého incidentu	SOC + SIEM	Potrebný je kontext z viacerých zdrojov
Spätné dohľadanie udalostí	SIEM / EDR	Poskytujú historické bezpečnostné dáta

 

V praxi sa hranice môžu líšiť podľa použitých technológií, integrácií a miery automatizácie. Podstatný je princíp:

EDR vidí detail na zariadení. SIEM vytvára širšiu viditeľnosť. SOC z viditeľnosti vytvára bezpečnostnú operáciu.

Stačí firme EDR?

Pri menšom a jednoduchšom prostredí môže kvalitný EDR vyriešiť významnú časť rizika na koncových zariadení. Najmä ak sú hlavnými chránenými aktívami pracovné stanice a servery, EDR poskytne oveľa hlbšiu viditeľnosť než tradičná ochrana založená iba na antivírusovej kontrole. S rastúcou komplexnosťou však vznikajú otázky, na ktoré samotné koncové zariadenie nemá odpoveď:

• Čo sa deje v cloude?
• Čo sa deje s identitou?
• Čo zaznamenal firewall?
• Čo sa zmenilo v kritickej aplikácii?
• Je rovnaký indikátor viditeľný na ďalších zariadeniach?

Ak je potrebné spájať tieto informácie, vzniká potreba centralizovanej bezpečnostnej viditeľnosti.

Stačí firme SIEM?

Ani táto otázka nemá univerzálnu odpoveď. SIEM môže priniesť veľmi dobrý prehľad, ale iba vtedy, ak:

• dostáva relevantné dáta,
• logy majú dostatočnú kvalitu,
• existujú vhodné detekčné pravidlá,
• pravidlá sa priebežne upravujú,
• a niekto upozornenia reálne vyhodnocuje.

Jednou z častých chýb je preto presvedčenie, že nasadením bezpečnostného nástroja sa automaticky vyrieši aj bezpečnostný proces. Rovnaký problém sa objavuje pri viacerých oblastiach IT ochrany. Medzi najčastejšie chyby v IT bezpečnosti patrí práve nesystematický prístup, pri ktorom jednotlivé opatrenia existujú bez dostatočného prepojenia na procesy, zodpovednosti a pravidelné vyhodnocovanie rizík. SIEM bez prevádzkového procesu sa preto môže zmeniť na drahé úložisko logov a generátor alertov.

A stačí SOC bez kvalitných dát?

Nie. Analytik dokáže vyhodnotiť iba to, čo dokáže vidieť. Ak kritický systém neposiela bezpečnostné logy, koncové zariadenie nemá dostatočnú telemetriu alebo cloudové služby nie sú integrované do monitoringu, v obraze incidentu vznikajú slepé miesta. Fungujúci monitoring preto potrebuje tri veci:

Vrstva	Potrebná schopnosť
Viditeľnosť	Získať relevantné bezpečnostné dáta
Detekcia	Rozpoznať podozrivé súvislosti
Reakcia	Vyhodnotiť incident a konať

 

Nie každá firma potrebuje rovnaké množstvo technológií. Každá firma, ktorá chce systematicky riešiť detekciu, však potrebuje vyriešiť všetky tri otázky.

Najčastejšia chyba: začať výberom technológie

Pri budovaní monitoringu sa diskusia ľahko zmení na porovnávanie produktov:

• ktorý EDR,
• ktorý SIEM,
• aký počet licencií,
• koľko dát denne,
• ktoré integračné konektory.

Technické parametre sú dôležité, ale mali by nasledovať až po definovaní toho, čo má firma chrániť a čo potrebuje odhaliť. Lepšie je najskôr určiť:

Ktoré aktíva sú kritické?

Môže ísť o:

• identity,
• finančné systémy,
• výrobné systémy,
• ERP,
• cloudové služby,
• zákaznícke dáta,
• zálohy.

Aké scenáre sú najrizikovejšie?

Napríklad:

• kompromitovaný administrátor,
• ransomvér,
• exfiltrácia dát,
• zneužitie vzdialeného prístupu,
• kompromitácia cloudového účtu.

Aké dáta sú na ich detekciu potrebné?

Až potom možno určiť:

• ktoré endpointy treba monitorovať,
• ktoré logy posielať do SIEM,
• aké detekcie vytvoriť,
• a aký spôsob reakcie potrebuje SOC.

Takýto prístup znižuje riziko, že vznikne rozsiahly monitoring, ktorý zbiera veľké množstvo dát, ale neodpovedá na najdôležitejšie bezpečnostné otázky firmy.

Viac dát automaticky neznamená lepšiu detekciu

SIEM môže technicky zbierať obrovské množstvo udalostí. To však neznamená, že je potrebné posielať doň každý dostupný log. Nadbytočné dáta môžu priniesť:

• vyššie prevádzkové náklady,
• komplikovanejšiu správu,
• viac nerelevantných alertov,
• horšiu orientáciu analytikov.

Prioritu majú dáta, ktoré pomáhajú identifikovať relevantné útoky a rekonštruovať incident. Typicky môže ísť o informácie súvisiace s:

• identitou a autentifikáciou,
• administrátorskými aktivitami,
• koncové zariadenie,
• sieťovou komunikáciou,
• cloudovými službami,
• kritickými aplikáciami,
• bezpečnostnými technológiami.

Cieľom nie je mať najviac logov. Cieľom je mať dostatočnú bezpečnostnú viditeľnosť.

Ďalšia chyba: technológia produkuje viac alertov, než dokáže tím spracovať

Viac detekcií nemusí znamenať lepšiu bezpečnosť. Ak systém každý deň vytvorí stovky upozornení a nikto ich nedokáže včas preveriť, vzniká alert fatigue. Dôležitý incident sa potom môže stratiť medzi množstvom málo významných udalostí. Kvalitný monitoring preto potrebuje:

• prioritizáciu,
• kontext,
• ladenie pravidiel,
• automatizáciu opakujúcich sa krokov,
• jasný triage,
• definované eskalácie.

Aj preto je prevádzka bezpečnostného monitoringu dlhodobá disciplína. Detekčné pravidlo, ktoré fungovalo pri pôvodnej infraštruktúre, nemusí mať rovnakú hodnotu po migrácii aplikácií do cloudu, zmene identity systému alebo zavedení nového spôsobu vzdialenej práce.

EDR + SIEM ešte automaticky nevytvára SOC

Táto rovnica je pri rozhodovaní veľmi dôležitá.

EDR + SIEM ≠ automaticky SOC

Technológie môžu poskytnúť:

• telemetriu,
• detekcie,
• alerty,
• automatizačné možnosti.

Stále však treba určiť:

• kto upozornenie preverí,
• v akom čase,
• podľa akých kritérií,
• kto rozhodne o izolácii systému,
• kedy sa informuje vedenie,
• ako sa incident eskaluje,
• kto zabezpečí jeho ďalšie vyšetrovanie.

Práve tieto procesy tvoria významnú časť SOC. Technologické vrstvy bez jasnej reakcie môžu síce útok zaznamenať, no firma sa o jeho závažnosti dozvie príliš neskoro.

Interný SOC alebo externá služba?

Po rozhodnutí vybudovať systematický monitoring vzniká ďalšia otázka: kto ho bude prevádzkovať.

Interný model

Firma buduje vlastný tím a technológie. Môže poskytovať vysokú úroveň znalosti interného prostredia, ale vyžaduje:

• odborných analytikov,
• technologickú infraštruktúru,
• nepretržité alebo dostatočne široké pokrytie,
• procesy,
• zastupiteľnosť,
• kontinuálne vzdelávanie.

Externý alebo riadený model

Časť alebo celá prevádzka monitoringu sa zverí poskytovateľovi. Výhodou môže byť:

• dostupnosť špecialistov,
• širšie časové pokrytie,
• zavedené procesy,
• skúsenosť s rôznymi typmi incidentov.

Firma však stále musí poznať vlastné priority a určiť, ktoré systémy sú kritické, kto môže schvaľovať zásahy a ako má eskalácia fungovať.

Hybridný model

Časť činností rieši externý SOC a časť interný tím. Pri mnohých organizáciách môže byť práve toto praktický model: externý tím zabezpečuje monitoring a prvotnú analýzu, zatiaľ čo interní špecialisti poskytujú kontext a vykonávajú alebo schvaľujú zásahy do kritických systémov.

Rozhodnutie preto nie je iba: vlastný alebo externý SOC? Presnejšia otázka znie: ktoré bezpečnostné kompetencie musí firma vlastniť interne a ktoré dokáže efektívnejšie zabezpečiť ako službu?

Kedy začína dávať kombinácia EDR, SIEM a SOC zmysel

Neexistuje univerzálna hranica podľa počtu zamestnancov. Relevantnejšie sú signály, ako:

• kritická prevádzka závislá od IT,
• rastúce množstvo cloudových služieb,
• veľké množstvo koncových zariadení,
• externé a vzdialené prístupy,
• citlivé alebo regulované dáta,
• viacero bezpečnostných technológií bez spoločného pohľadu,
• nedostatočná kapacita interného IT na monitoring,
• potreba reakcie mimo pracovného času.

Moderná firemná infraštruktúra zároveň nemá jednu jedinú hranicu, ktorú stačí chrániť firewallom. Práve preto viacvrstvová ochrana firemnej infraštruktúry kombinuje ochranu koncových zariadení, identít, siete, dát, monitoring aj pripravenosť na incident.

Päť otázok pred rozhodovaním o SIEM a SOC

Namiesto porovnávania zoznamov funkcionalít je vhodné najskôr odpovedať na päť otázok.

1. Čo musí byť viditeľné?

Kritické identity, zariadenia, servery, cloud, aplikácie alebo OT prostredie.

2. Ktoré incidenty je potrebné odhaliť ako prvé?

Ransomvér, kompromitácia administrátora, únik dát alebo iný scenár s vysokým dopadom.

3. Odkiaľ prídu potrebné dáta?

EDR, identity, firewall, cloud, aplikácie a ďalšie systémy.

4. Kto alert preverí?

Interný tím, externý SOC alebo kombinácia.

5. Čo sa stane po potvrdení incidentu?

Izolácia zariadenia, blokovanie účtu, eskalácia, vyšetrovanie alebo obnova.

Ak posledná otázka nemá jasnú odpoveď, bezpečnostný monitoring ešte nie je kompletný.

SIEM, EDR a SOC neriešia ten istý problém

Rozdiel medzi nimi možno zhrnúť tromi otázkami.

Čo sa deje na zariadení?

EDR.

Čo sa deje naprieč firemným prostredím?

SIEM.

Je to incident a čo s ním treba urobiť?

SOC.

Najvyššiu hodnotu pritom nevytvára samotný počet nasadených technológií, ale ich prepojenie s reálnymi bezpečnostnými rizikami a schopnosťou firmy reagovať. EDR bez širšieho kontextu nemusí vidieť celý útok.

SIEM bez kvalitných dát a detekčných pravidiel nemusí vytvoriť správny signál. A SIEM plný alertov bez ľudí a reakčných procesov ešte nevytvára funkčný bezpečnostný dohľad.

Od bezpečnostných nástrojov k prevádzkovanej bezpečnosti

Firmy pri budovaní kybernetickej ochrany často začínajú jednotlivými technológiami. S rastúcou infraštruktúrou však vzniká potreba prepojiť ich do spoločného bezpečnostného obrazu a zabezpečiť, aby podozrivé udalosti viedli k včasnej reakcii. Pri hodnotení súčasného monitoringu preto treba posúdiť tri vrstvy:

Otázka	Potrebná schopnosť
Vidí firma relevantné udalosti?	EDR a ďalšie zdroje telemetrie
Dokáže ich spojiť do súvislostí?	SIEM
Dokáže ich priebežne vyhodnocovať a riešiť?	SOC

 

Základom správneho návrhu však nie je výber názvu technológie, ale určenie toho, čo musí byť vo firemnom prostredí viditeľné, ktoré incidenty treba vedieť odhaliť a kto na ne bude reagovať.

Najčastejšie otázky