תיבת הדואר של מנהלת הכספים קיבלה הודעה שנראתה לגמרי לגיטימית. עובד הזין סיסמה, התחברו לחשבון שלו ממדינה אחרת, ובתוך דקות נוצר כלל שמעביר הודעות נכנסות לתיבה חיצונית. כל אחד מהאירועים האלה, בפני עצמו, עשוי להיראות שגרתי. יחד הם מצביעים על ניסיון השתלטות. כאן מתחילה התשובה לשאלה מה זה SIEM: מערכת שיודעת לחבר בין סימנים מפוזרים, לזהות דפוס מסוכן ולסייע לצוות להגיב לפני שהאירוע הופך לנזק עסקי.
עבור עסק שמסתמך על דואר אלקטרוני, קבצים משותפים, מערכות ענן ועבודה מרחוק, אבטחת מידע אינה רק עניין טכני. היא קשורה ישירות לזמינות השירות, להגנה על מידע לקוחות, לעמידה בחובות רגולטוריות וליכולת להמשיך לעבוד גם כשמתרחש אירוע חריג.
מה זה SIEM בפועל?
SIEM הם ראשי תיבות של Security Information and Event Management, או בעברית: ניהול מידע ואירועי אבטחה. מדובר בפלטפורמה שמרכזת יומני פעילות והתראות ממערכות שונות בארגון, מנתחת אותם לאורך זמן ומזהה התנהגויות שעשויות להעיד על איום.
במקום שמנהל המחשוב יצטרך לעבור ידנית על התראות ממערכת הדואר, מחומת האש, מהמחשבים, מהשרתים ומהענן, מערכת SIEM אוספת את התמונה למקום אחד. היא לא רק שומרת נתונים: היא מחברת ביניהם. למשל, ניסיון התחברות כושל חוזר, אחריו כניסה מוצלחת לחשבון, ואחריה הורדה חריגה של קבצים. השילוב הוא מה שמעלה את רמת הסיכון.
אפשר לחשוב על המערכת כעל מרכז בקרה. היא מקבלת מידע ממקורות רבים, מסננת את הרעש, מתעדפת אירועים ומאפשרת לבדוק מה קרה, למי, מתי ומאיפה. בארגון עם משאבי IT מוגבלים, זו דרך להפוך מידע טכני מפוזר לבקרה ברורה ולפעולה ממוקדת.
אילו מקורות מידע מערכת SIEM אוספת?
הערך של מערכת SIEM תלוי באיכות ובכיסוי של הנתונים שמוזרמים אליה. ככל שהמערכת רואה חלק גדול יותר מהסביבה הארגונית, כך היא יכולה לזהות הקשרים טוב יותר. בדרך כלל מחברים אליה יומנים ממערכות כגון Microsoft 365, שירותי ענן, מחשבי עובדים, שרתים, נתבים, מתגים, חומות אש, מערכות גיבוי, תוכנות אבטחת קצה ויישומים עסקיים רגישים.
גם בקרות גישה חשובות במיוחד. אם עובד ניגש למידע שאינו קשור לתפקידו, או אם ספק חיצוני מתחבר בשעה לא שגרתית, הנתונים האלה יכולים להיות משמעותיים. בחברות עורכי דין, רואי חשבון, ביטוח וייעוץ פיננסי, שבהן נשמר מידע רגיש במיוחד, תיעוד הפעילות מסייע לא רק באיתור תקיפה אלא גם בבדיקת אירוע ובהפקת לקחים.
לא כל מערכת חייבת להישלח ל-SIEM מהיום הראשון. חיבור לא מתוכנן של כל מקור מידע עלול ליצור עלויות גבוהות, עומס של התראות ובלבול תפעולי. מתחילים מהמערכות שמחזיקות את הנכסים החשובים ביותר: זהויות משתמשים, דואר, קבצים, גישה מרחוק, נקודות קצה וגיבויים.
איך SIEM מזהה איום שלא נראה בהתרעה בודדת?
מערכות אבטחה רבות שולחות התראות. הבעיה היא שהתראה בודדת כמעט אף פעם אינה מספרת את הסיפור המלא. כניסה ממיקום חדש יכולה להיות עובד שנמצא בנסיעה. העלאת קובץ גדול לענן יכולה להיות גיבוי לגיטימי. שינוי הרשאות יכול להיות חלק מקליטת עובד חדש.
מערכת SIEM מפעילה כללי קורלציה, כלומר מחפשת קשר בין אירועים. היא יכולה, לדוגמה, לזהות שמשתמש התחבר ממיקום חריג, ביצע שינוי בהגדרות אבטחה, ולאחר מכן ניסה לגשת לתיבות דואר רבות. רצף כזה דורש בדיקה מהירה, גם אם כל פעולה בנפרד אינה ודאית.
בחלק מהפתרונות קיימים גם מנגנוני ניתוח התנהגות. הם לומדים מה נחשב פעילות רגילה יחסית בארגון ומסמנים סטיות משמעותיות: כניסה בשעות לא אופייניות, שימוש בלתי שגרתי בהרשאות מנהל, גישה לכמות חריגה של קבצים או תקשורת מול יעד חשוד.
חשוב להישאר מדויקים: SIEM אינו קורא מחשבות ואינו מבטיח שכל התראה היא תקיפה. הוא מציף חשד ומספק הקשר. עדיין נדרש גורם מקצועי שיודע לבחון את האירוע, להבדיל בין פעילות תקינה לאיום אמיתי, ולהחליט אם לחסום משתמש, לבודד מחשב או לבצע בדיקה נוספת.
מה התועלת העסקית של SIEM?
היתרון הראשון הוא קיצור זמן הגילוי. ככל שאירוע כמו גניבת חשבון, נוזקה או דליפת מידע מתגלה מוקדם יותר, כך אפשר לצמצם את היקף הפגיעה. במקום לגלות בדיעבד שמידע יצא מהארגון במשך שבועות, ניתן לזהות סימנים ראשוניים ולפעול בזמן.
היתרון השני הוא חקירה מסודרת. כאשר הנהלה שואלת מה קרה, אילו מערכות הושפעו ומה נעשה כדי למנוע הישנות, אין מקום להערכות. יומנים מאוחדים ומסונכרנים מאפשרים לבנות ציר זמן של האירוע ולתעד את הפעולות שננקטו.
היתרון השלישי הוא שליטה ניהולית. מנהל או בעל עסק לא צריך לקבל עשרות התרעות טכניות ביום. הוא צריך לדעת אם יש סיכון מהותי, מה רמת הדחיפות, מי מטפל בו ומה ההשפעה האפשרית על הפעילות. מערך מנוהל היטב מתרגם את המידע הזה להחלטות ברורות.
לבסוף, SIEM יכול לתמוך בדרישות של לקוחות, מבטחים ורגולטורים. לעיתים נדרש להראות שיש ניטור, תיעוד גישה ויכולת תגובה לאירוע. המערכת עצמה אינה הופכת עסק לתואם לכל תקן, אך היא מספקת חלק מהתשתית הנדרשת לבקרה ולראיות.
ההבדל בין SIEM, הגנת קצה ומרכז ניטור
קל להתבלבל בין המונחים, אך לכל שכבה תפקיד אחר. מערכת הגנה על נקודות קצה מגינה על מחשבים ושרתים ומזהה פעולות חשודות עליהם. חומת אש בודקת ומסננת תעבורת רשת. אימות רב-שלבי מקשה על גניבת חשבונות. כל אלה חיוניים, אך כל אחד רואה חלק מהתמונה.
SIEM מרכז את המידע מכל השכבות ומחפש את הקשר ביניהן. מרכז ניטור אבטחה, לעומת זאת, הוא הצוות או השירות שבוחן את ההתראות ומגיב אליהן. אפשר להחזיק מערכת SIEM בלי מרכז ניטור פעיל, אך במקרה כזה עלול להיווצר מצב שבו התראה קריטית מתקבלת בלילה ואף אחד לא בודק אותה עד הבוקר.
לכן השאלה הנכונה אינה רק איזו טכנולוגיה לרכוש, אלא מי מנטר, באילו שעות, מהו זמן התגובה המוגדר, ואילו פעולות מותר לבצע במקרה של חשד ממשי. SLA ברור ונהלי הסלמה הם חלק מההגנה, לא נספח אדמיניסטרטיבי.
מתי עסק קטן או בינוני באמת צריך SIEM?
לא כל עסק של עשרה עובדים זקוק באותו יום לפלטפורמה רחבה ומורכבת. אם המערכות פשוטות, אין מידע רגיש במיוחד והגישה מרחוק מוגבלת היטב, ייתכן שנכון יותר להתחיל בחיזוק בסיסי: אימות רב-שלבי, גיבוי שנבדק בפועל, ניהול עדכונים, הגנת קצה והקשחת Microsoft 365.
עם זאת, הצורך ב-SIEM עולה כאשר העסק מחזיק מידע רגיש, עובד מול לקוחות גדולים עם דרישות אבטחה, מפעיל עובדים היברידיים, משתמש בכמה שירותי ענן, או רוצה יכולת מוכחת לחקור אירועים. גם ארגון קטן יכול להיות יעד אטרקטיבי לתוקפים, דווקא משום שהוא מניח שהוא "קטן מדי".
לעיתים הפתרון המתאים הוא שירות מנוהל ומדורג, ולא מערכת יקרה שהארגון נדרש להפעיל בעצמו. כך מקבלים ניטור של המקורות המהותיים, התאמת כללים לסיכונים העסקיים וליווי מקצועי, בלי להעמיס על מנהל המשרד או על איש IT יחיד עוד מסך התראות.
איך מטמיעים SIEM בלי ליצור עומס חדש?
הטמעה נכונה מתחילה במיפוי: אילו מערכות קריטיות לעבודה, היכן נמצא מידע רגיש, מי מחזיק בהרשאות ניהול ואילו תרחישים עלולים להשבית פעילות. משרד נדל"ן עשוי להתמקד בהגנה על מאגרי לקוחות ותיבות דואר. חברה יצרנית תיתן משקל נוסף לשרתים, גישה מרחוק ורציפות של מערכות תפעוליות.
לאחר מכן מגדירים מקורות מידע וכללי זיהוי לפי סדר עדיפות. אין היגיון להתחיל מעשרות תרחישים נדירים כאשר אין עדיין התרעה איכותית על התחברות חשודה לחשבון מנהל או על שינוי בכלל העברת דואר. השלב הבא הוא כוונון: בודקים התראות, מפחיתים התרעות שווא ומוודאים שאירועים אמיתיים מגיעים לגורם הנכון.
חשוב גם להגדיר מראש את מסלול התגובה. מי מקבל דיווח? האם ניתן לחסום חשבון באופן מיידי? מי אחראי ליצור קשר עם המשתמש? האם יש גיבוי זמין אם שרת נפגע? הטכנולוגיה מאתרת סימן, אבל התהליך האנושי הוא שמחזיר את העסק לפעילות.
מערכת SIEM טובה אינה אמורה להפוך את ההנהלה לאנשי סייבר. היא אמורה לתת לעסק ודאות שיש מי שרואה את התמונה, בודק חריגות ומגיב לפי תהליך מסודר. כשהניטור מותאם לסיכונים האמיתיים ולמערכות שהעסק תלוי בהן, אפשר לנהל את הצמיחה עם פחות הפתעות ועם הרבה יותר שליטה.