SIEM (Security Information and Event Management) คืออะไร?
SIEM คือโซลูชันที่รวม Security Information Management (SIM) และ Security Event Management (SEM) เข้าด้วยกัน เพื่อเก็บรวบรวม ปกติข้อมูล (Normalize) รวม (Aggregate) และวิเคราะห์ข้อมูลล็อก (Log) จากแหล่งต่างๆ ทั่วเครือข่ายแบบ Real-time เพื่อตรวจจับภัยคุกคาม และสร้างรายงานการปฏิบัติตามข้อกำหนด (Compliance)
ทำไม SIEM จึงสำคัญ? (Key Benefits)
- รวมข้อมูลล็อกศูนย์กลาง (Centralized Logging): รวบรวมล็อกจาก Firewall, Server, Domain Controller, Network Devices, Applications, Cloud Services ไว้ที่เดียว
- ตรวจจับภัยคุกคามขั้นสูง (Advanced Threat Detection): ใช้ Correlation Rules, Machine Learning, UEBA เพื่อหาความสัมพันธ์ของเหตุการณ์ที่ดูแยกกันไม่ผิดปกติ แต่รวมกันแล้วเป็นการโจมตี
- ลด Alert Fatigue: กรองและจัดลำดับความสำคัญของ Alert ให้ทีม SOC โฟกัสกับสิ่งสำคัญ
- สร้าง Timeline การโจมตี: รวมเหตุการณ์จากทุกแหล่ง เพื่อดูภาพรวมการโจมตี (Kill Chain)
- รองรับ Compliance: รายงานสำหรับ PCI-DSS, HIPAA, GDPR, ISO 27001
- Forensic Investigation: ค้นหาข้อมูลย้อนหลังเพื่อสืบสวนเหตุการณ์
- Threat Intelligence Integration: นำข้อมูลภัยคุกคามภายนอกมา enrich alerts
ฟังก์ชันหลักของ SIEM
- Log Collection & Aggregation
- Normalization & Parsing
- Real-time Correlation & Alerting
- Dashboards & Reporting
- Incident Response & Case Management
- UEBA (User & Entity Behavior Analytics)
- Threat Intelligence Platform Integration
- Compliance Reporting
SIEM ตรวจจับอะไรได้บ้าง?
- Brute Force / Credential Stuffing
- Lateral Movement
- Privilege Escalation
- Data Exfiltration
- Malware C2 Communication
- Insider Threats
- Policy Violations
- Mobile Device Anomalies
ตัวอย่าง SIEM Tools ยอดนิยม
| Tool | ประเภท | จุดเด่น |
|---|---|---|
| Splunk Enterprise Security | Commercial | Scalable, Powerful SPL Query, App Ecosystem |
| IBM QRadar | Commercial | Strong Correlation, Network Flow Analysis |
| LogRhythm NextGen SIEM | Commercial | Integrated SOAR, UEBA |
| Elastic Security (ELK Stack) | Open Source/Commercial | Flexible, Cost-effective, Cloud-native |
| Microsoft Sentinel | Cloud-native (Azure) | Integrated with Microsoft 365, Azure |
| FortiSIEM | Commercial | Integrated with Fortinet Fabric |
| AlienVault USM / AT&T Cybersecurity | Commercial | All-in-one (SIEM + Asset Discovery + Vulnerability Scan) |
| Wazuh | Open Source | HIDS + SIEM, Free, Active Community |
องค์ประกอบหลักของ SIEM
- Data Collection Agents/Forwarders: ติดตั้งบน Endpoint, Server, Network Devices
- Log Collector/Indexer: รับ, Parse, Index ข้อมูล (เช่น Elasticsearch)
- Correlation Engine: ใช้ Rules, ML วิเคราะห์ความสัมพันธ์
- Alerting & Notification: Email, Slack, Ticketing (Jira, ServiceNow)
- Dashboard & Visualization: Kibana, Grafana, Native UI
- Threat Intelligence Feeds: STIX/TAXII, Commercial Feeds
- Case Management / SOAR: จัดการ Incident, Automation Playbooks
เป้าหมายของ SIEM (Objectives)
- ตรวจจับเหตุการณ์ความปลอดภัยที่พลาดไปได้
- ลดเวลาในการตรวจจับ (MTTD) และตอบสนอง (MTTR)
- ให้ข้อมูลสำหรับการตัดสินใจและรายงานผู้บริหาร
- รองรับการ Audit และ Compliance
ข้อควรพิจารณาก่อนเลือก SIEM
- ขนาดองค์กรและปริมาณ Log (EPS - Events Per Second)
- งบประมาณ (License, Hardware, People)
- ทักษะทีม (ต้องมี Analyst ที่เขียน Rule/Query ได้)
- Integration กับระบบเดิม (Firewall, EDR, Cloud, AD)
- Cloud vs On-prem vs Hybrid
