SIEM اختصار لـ Security Information and Event Management، وهو العقل المركزي لمراقبة الأمن في المؤسسة. كل جهاز في الشبكة يُنتج سجلات (Logs): جدار الحماية، والسويتشات، و Active Directory، والسيرفرات، وبرامج الحماية، والتطبيقات السحابية. لكن هذه السجلات متفرقة وبصيغ مختلفة وبكميات هائلة، ولا يمكن لإنسان مراجعتها يدوياً. هنا يأتي دور الـ SIEM.
كيف يعمل SIEM؟
- التجميع (Collection): استقبال السجلات عبر Syslog أو وكلاء (Agents) أو واجهات API.
- التوحيد (Normalization): تحويل الصيغ المختلفة إلى حقول موحدة: المستخدم، العنوان، الحدث، الوقت.
- الربط (Correlation): تطبيق قواعد تربط أحداثاً من مصادر مختلفة لاكتشاف نمط هجوم.
- التنبيه والتحقيق: إنشاء تنبيهات بدرجات خطورة، مع لوحات وأدوات بحث للتحقيق.
- الاحتفاظ والامتثال: حفظ السجلات لفترات تتطلبها المعايير والقوانين.
مثال على قاعدة ربط
قاعدة تقول: إذا سجّل حساب واحد أكثر من 20 محاولة دخول فاشلة على VPN خلال 5 دقائق، تليها محاولة ناجحة من دولة لم يدخل منها الحساب من قبل، ثم ظهر الحساب نفسه يدخل على سيرفر الملفات، أطلق تنبيهاً عالي الخطورة. كل حدث منفرد قد يبدو عادياً، لكن ربطها معاً يكشف اختراقاً محتملاً بكلمة مرور مخمّنة.
أمثلة على المنتجات
من الحلول التجارية المعروفة: Splunk Enterprise Security وMicrosoft Sentinel وIBM QRadar، ومن الحلول مفتوحة المصدر: Wazuh وElastic Security، وهي خيار جيد للشركات الصغيرة والمتوسطة.
نصائح للنجاح
- ابدأ بالمصادر الأهم: جدار الحماية، و VPN، و Active Directory، والبريد، و EDR.
- تأكد من مزامنة الوقت عبر NTP في كل الأجهزة، وإلا يفشل الربط بين الأحداث.
- اضبط القواعد باستمرار لتقليل الإنذارات الكاذبة، فكثرة التنبيهات تؤدي لتجاهلها (Alert Fatigue).
- تذكر أن الـ SIEM أداة؛ بدون فريق يتابع التنبيهات (SOC داخلي أو خدمة مُدارة) لن يحمي شيئاً.
- راعِ تكلفة الترخيص، فكثير من المنتجات تُسعَّر حسب حجم البيانات اليومي.
الفرق بين SIEM و SOAR و XDR
SIEM يجمع ويحلل ويُنبّه. SOAR يُؤتمت الاستجابة، كعزل جهاز أو تعطيل حساب تلقائياً وفق سيناريوهات (Playbooks). أما XDR فيعتمد غالباً على منظومة مصنّع واحد تربط حماية الأجهزة والبريد والشبكة بعمق أكبر، ويتداخل مع SIEM في كثير من الوظائف.
