SIEM
siglasegurançanuvemSuporte de TI
Security Information and Event Management: logs de toda parte, correlacionados em alertas - o sistema nervoso central do time de segurança.
Sua economia é uma disciplina própria: a ingestão é cobrada, então o que NÃO enviar vira decisão de arquitetura.
Um SIEM é onde os logs de tudo deveriam virar respostas. Coleta, normalização num esquema comum, correlação entre fontes, alerta e retenção para a investigação que ainda não aconteceu: o valor está inteiramente na correlação, porque uma negação de firewall, um login falho e uma nova conta de administrador são banais isoladamente e um padrão em conjunto.
O modo de falha é bem documentado e ainda comum. Ingerir tudo, escrever centenas de regras, e a saída vira uma fila que ninguém consegue ler, que é a fadiga de alertas chegando por um caminho específico. As organizações que extraem valor tendem a registrar deliberadamente em função das detecções que pretendem rodar, em vez de coletar de forma abrangente esperando que o sentido emerja do volume.
Duas realidades práticas merecem menção. O licenciamento costuma escalar com o volume de dados, então a decisão de arquitetura e a de orçamento são a mesma decisão, e as equipes rotineiramente descobrem isso depois do piloto. E um SIEM só é tão bom quanto sua sincronização de tempo: correlacionar eventos entre fontes cujos relógios divergem produz sequências que nunca aconteceram, e é por isso que higiene de NTP é um controle de segurança, não uma gentileza operacional.