SIEM seçimi, ürün listesinden önce veri kaynaklarını ve çözülmesi gereken güvenlik problemlerini tanımlamakla başlar. Bir ürünün çok sayıda özellik sunması, kurumun loglarının doğru işleneceği veya ekibin alarmları zamanında inceleyebileceği anlamına gelmez.
1. Log Kaynağı Envanteri Oluşturun
Windows/Linux sistemleri, güvenlik duvarları, kimlik servisleri, bulut ve kritik uygulamaları listeleyin. Her kaynak için sorumlu ekip, gönderim yöntemi, örnek olay, zaman bilgisi ve veri hassasiyetini kaydedin. Desteklenen entegrasyon adı ile kendi ürün sürümünüzün gerçekten çalışmasını ayrı doğrulayın.
2. İlk Use Case’leri Belirleyin
“Her şeyi izle” yerine araştırılabilir senaryolar seçin: olağandışı kimlik doğrulama, kritik hesaptaki değişiklik, log kaynağının veri göndermemesi veya hassas sistemde beklenmeyen erişim. Her senaryo için gerekli logu, beklenen alarmı ve analistin vereceği kararı yazın.
3. Kapasite ve Saklama İhtiyacını Ölçün
- Ortalama hacmi ve yoğun saatlerdeki tepe değerleri ayrı kaydedin.
- Olay sayısıyla birlikte olay boyutunu ve ağ akışı ihtiyacını değerlendirin.
- Aktif arama, arşiv ve yedek gereksinimlerini ayırın.
- Saklama süresini kurumun iş ve uyumluluk gereksinimleriyle belirleyin.
- Log hacmine gelecekte eklenecek sistemleri dahil edin.
EPS değeri tek başına toplam depolama veya sorgu performansını açıklamaz. Boyutlandırma, ürünün mimarisi ve lisans modeliyle birlikte yapılmalıdır.
4. Pilot İçin Kabul Ölçütleri Yazın
| Deneme | Beklenen kanıt |
|---|---|
| Log entegrasyonu | Kaynak ve olay alanları doğru |
| Korelasyon | Tanımlı test koşulunda beklenen alarm |
| Arama | Gerekli zaman aralığında kullanılabilir sonuç |
| Operasyon | Alarmın sahibi ve eskalasyon adımı belli |
| Süreklilik | Veri kesintisi ve geri kazanım davranışı belgeli |
5. Toplam İşletme Yükünü Karşılaştırın
Lisansın yanında depolama, bakım, entegrasyon geliştirme, içerik yönetimi, eğitim ve vardiya kapasitesini değerlendirin. Ürünü kuracak ekip ile alarmları işleyecek ekibin sorumluluklarını baştan belirleyin.
Kaynak ve Kapsam
SIEM’in genel veri toplama, korelasyon ve izleme işlevleri için IBM SIEM kaynağı. Envanter ve pilot kabul tablosu, ürün bağımsız değerlendirme için hazırlanmıştır.
İlgili Rehberler
