Um SIEM (Security Information and Event Management) é uma plataforma que recolhe os registos (logs) de muitos sistemas, os normaliza e os correlaciona para detetar atividade suspeita, investigar incidentes e conservar evidências. Não protege por si só: só é útil se receber dados de qualidade e se alguém atuar sobre os seus alertas.
Como funciona
Um SIEM recebe eventos de fontes como servidores, equipamentos, firewalls, sistemas de identidade (por exemplo, o Active Directory ou o Entra ID), correio eletrónico, aplicações e serviços na cloud. Converte-os para um formato comum, ordena-os no tempo e aplica regras de correlação: por exemplo, muitas tentativas falhadas de início de sessão seguidas de uma bem-sucedida a partir de outro país.
Quando uma regra se verifica, gera um alerta para que uma pessoa o analise. Permite ainda pesquisar o histórico durante uma investigação e conservar os registos durante o prazo definido. O seu valor depende das fontes ligadas, de os relógios estarem sincronizados e de as regras serem afinadas para limitar os falsos positivos. Como os registos contêm dados pessoais (utilizadores, endereços IP), é preciso definir também quem lhes acede e durante quanto tempo se conservam.
Exemplo
Exemplo ilustrativo, não um caso real. Uma empresa liga ao SIEM o seu diretório de utilizadores, a firewall e os portáteis. Numa noite, a conta de um elemento da equipa financeira inicia sessão a partir de outro país e, minutos depois, é descarregado um volume invulgar de ficheiros.
Nenhum dos eventos, isoladamente, é alarmante, mas a regra de correlação associa-os e cria um alerta. O responsável analisa-o, bloqueia a conta, repõe as credenciais e usa o histórico para ver o que foi consultado. Sem registos centralizados, essa reconstituição teria exigido verificar cada sistema em separado.
Limites
Um painel sem alertas pode significar que nada aconteceu, que uma regra é inadequada ou que uma fonte deixou de enviar dados: é preciso vigiar o estado das fontes. Muitos eventos não equivalem a cobertura. E um SIEM precisa de pessoas e de um procedimento: quem analisa, com que prioridade e quando se escala.
Não substitui o EDR, as cópias de segurança, as atualizações nem o privilégio mínimo. Consoante a dimensão da organização, pode convir começar por centralizar bem os registos mais importantes e definir que casos de uso interessam antes de comprar uma plataforma.
Quando chamar um especialista
Convém pedir ajuda quando uma norma, um cliente ou uma auditoria exigem conservar e analisar registos, quando houve um incidente que não foi possível investigar por falta de logs, ou quando já existe um SIEM e ninguém analisa nem afina os seus alertas.
Antes de escolher uma ferramenta, um diagnóstico deve esclarecer que fontes importam, que casos de uso são prioritários, quem responde aos alertas e durante quanto tempo se guardam os dados. Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: conheça o nosso serviço de cibersegurança ou conte-nos o seu caso.
Saber mais
Termos relacionados do glossário: SOC, EDR, MDR, XDR e IDS e IPS.
Fontes oficiais (em inglês): o guia NIST SP 800-92 sobre gestão de registos de segurança e as orientações do NCSC Building a Security Operations Centre.