Правительственные агентства США, Великобритании, Австралии, Канады и других стран выпустили руководство, в котором призвали организации отдать приоритет внедрению платформ Security Information and Event Management (SIEM) и Security Orchestration, Automation and Response (SOAR), а также оказать содействие ИБ-специалистам по их закупкам и внедрению.

В совместном консультационном документе подчёркнута важность SIEM и SOAR в централизованном сборе критически важных данных. Также он гласит, что внедрение этих платформ — это «интенсивный, непрерывный процесс», требующий участия высококвалифицированного персонала.

Основной проблемой является предотвращение «усталости» — чтобы SIEM выдавала оповещения только при возникновении киберинцидентов. Для этого необходимо определить правильные типы и объёмы данных журнала (log data), а также верные фильтры для применения к этим данным.

Помимо этого, в документе рекомендуется разработать модель угроз, которая выявляет представляющие интерес события. Ключевым техническим моментом SOAR является обеспечение того, чтобы платформа реагировала только на фактические инциденты и не предпринимала действий против обычной сетевой активности.

Для решения этих задач безопасникам необходимо тщательно настраивать SIEM и/или SOAR для уникальной сети и организации, в которой они используются, внедряя платформы собственными силами. По признанию авторов руководства, это потребует значительных расходов: оплаты лицензии платформы, найма персонала со специальными навыками и «потенциальных скрытых затрат» в различных продуктах SIEM и SOAR при принятии решений о закупках.

Усам Оздемиров