Werken als SIEM Engineer

Wat doet een SIEM Engineer?

Een SIEM Engineer bouwt en beheert het SIEM-platform: het systeem dat logs uit systemen verzamelt en op één plek bruikbaar maakt. De NIST-woordenlijst omschrijft een SIEM-tool als een toepassing die beveiligingsgegevens uit onderdelen van informatiesystemen kan verzamelen en die via één interface als bruikbare informatie kan tonen. De engineer zorgt dat die verzameling werkt en dat de gegevens erin kloppen.

Voor deze functie bestaat geen officieel profiel. ENISA publiceerde in september 2022 het European Cybersecurity Skills Framework met 12 rolprofielen, en een profiel voor SIEM Engineer staat daar niet bij. De beschrijving op deze pagina is dus vakduiding, en de invulling verschilt per werkgever.

Een gewone opdracht ziet er zo uit. Een organisatie neemt een nieuwe klantportaal-applicatie in gebruik. De SIEM Engineer overlegt met het applicatieteam welke gebeurtenissen nodig zijn, zet de koppeling op, bouwt de inleesregel en controleert of gebruikersnaam, adres en tijd kloppen. Pas als dat klopt, krijgt de Detection Engineer de bron, en daarna blijft de engineer letten op binnenkomende logs.

Een tweede voorbeeld is een bron die stilvalt. Na een update van een firewall verandert het logformaat, de velden komen leeg binnen en er gaat geen enkele regel af. Een controle op de gezondheid van de bronnen (komt er nog verkeer binnen, zijn de velden gevuld) signaleert dat, en het bewaken daarvan hoort bij het werk.

Bij sommige organisaties is de SIEM Engineer een aparte functie, bij andere is het werk onderdeel van de functie van SOC Engineer of Security Engineer, en het bredere vakgebied staat bij security operations.

Een logbron aansluiten van begin tot eind

Het volgende is een patroon, geen vast protocol. Het laat zien in welke volgorde het werk loopt.

1. Welke vraag moet dit log beantwoorden? Zonder die vraag weet niemand welke gebeurtenissen nodig zijn.
2. Afspraken maken met de eigenaar van het systeem. Welke gebeurtenissen komen binnen, in welk formaat, en hoe gaan ze naar het SIEM?
3. De koppeling opzetten. Dat kan via een connector, Syslog of een REST-API.
4. Inlezen en normaliseren. Velden uit verschillende bronnen worden vergelijkbaar, zodat één zoekopdracht voor alle bronnen werkt.
5. Controleren op volledigheid en kloppende velden. Komen alle verwachte gebeurtenissen binnen, en kloppen tijd en tijdzone?
6. Bewaken en onderhouden. Formaten en systemen veranderen, dus de koppeling moet mee veranderen.

Achter deze stappen zit het idee van centrale logging. Logs blijven niet alleen op het systeem zelf staan, maar gaan naar een beveiligde, centrale plek. Dat helpt bij het doorzoeken, en het maakt het voor een onbevoegde lastiger om logs te manipuleren. NIST beschreef dit in augustus 2006 in SP 800-86. Daarin staat ook dat de meeste besturingssystemen zo kunnen worden ingesteld dat ze gebeurtenissen zoals inlogpogingen en wijzigingen in beveiligingsbeleid vastleggen.

Een bron die stil is, betekent niet dat er niets aan de hand is.

Welke taken horen bij de functie?

Er bestaat geen officiële takenlijst voor deze functie. ENISA noemt in het profiel Cyber Incident Responder het beheren en analyseren van logbestanden als kernvaardigheid, en Cybersecurity SIEM Manager als alternatieve titel. Dat is een aanwijzing dat SIEM-beheer in sommige kaders bij incidentafhandeling wordt geplaatst, maar het is geen officiële omschrijving van deze rol. Titels als SIEM Engineer, SOC Engineer en Security Engineer worden bij sommige organisaties door elkaar gebruikt.

Het werk valt grofweg in deze groepen:

• bronnen aansluiten en onderhouden;
• gegevens inlezen en normaliseren;
• opslag en bewaartermijnen, afgewogen tegen kosten en nut;
• toegang tot logs: wie mag wat zien;
• gezondheid en prestaties van het platform bewaken;
• koppelingen en automatisering met ticketing;
• upgrades en migraties;
• documenteren.

Bij toegang tot logs speelt privacy mee, want logs kunnen persoonsgegevens bevatten, zoals gebruikersnamen. Welke afspraken daarvoor gelden, lees je op de AVG-pagina en in de eigen organisatie. Het werk omvat ook ondersteuning van de SOC Analist en de Detection Engineer, want zij vertrouwen op wat het platform laat zien.

Welke skills heb je nodig?

Technisch begin je bij de logs zelf. Je weet welke logs Windows, Linux, netwerkapparatuur, cloudomgevingen en applicaties maken, hoe die logs worden verstuurd en opgeslagen, en wat velden en tijdzones betekenen. Daarbovenop komen de zoektaal van het platform, scripts in Python, PowerShell of Bash om werk te automatiseren, en het beheer van het platform zelf, in een cloudomgeving of op servers. Een goede basis in netwerken en besturingssystemen helpt bij al die onderdelen. De bijbehorende vaardigheid is security monitoring.

Ook het niet-technische deel telt. Je maakt afspraken met mensen die systemen beheren en die een log "erbij" moeten zetten, en je legt uit waarom die log nodig is. Je documenteert nauwkeurig wat je koppelt en waarom, en je weegt kosten af tegen nut. De rol vraagt veel samenwerking met IT-beheer.

Welke tools en technologie gebruikt een SIEM Engineer?

Een SIEM verzamelt logs en maakt meldingen op basis van regels. Een koppeling (connector) haalt gegevens uit een bron, en een inleesregel (parser) zet ruwe regels om in velden.

Microsoft Sentinel is volgens Microsoft een cloudgebaseerde SIEM-oplossing met kant-en-klare gegevenskoppelingen. Bronnen kunnen ook via common event format, Syslog of een REST-API worden aangesloten. Volgens Microsoft op 5 november 2026 wordt Sentinel na 31 maart 2027 niet meer ondersteund in de Azure-portal, alleen nog in de Microsoft Defender-portal. Kijk voor de actuele stand op de Microsoft-pagina.

Splunk en Elastic Security zijn andere SIEM-platforms. Elastic beschrijft in zijn documentatie dat de detection engine van Elastic Security gegevens beoordeelt aan de hand van detectieregels en meldingen genereert, ook voor meldingen van Elastic Defend en van externe hulpmiddelen zoals Suricata.

CrowdStrike is een voorbeeld van een EDR-tool en levert gegevens over endpoints als bron. Azure en AWS zijn tegelijk bron en omgeving. Voor wijzigingen en tickets gebruik je ServiceNow of een vergelijkbaar systeem, en voor automatisering scripts in Python, PowerShell of Bash. Kennis van Linux komt van pas voor logs van Linuxservers en voor het schrijven van scripts.

De vacature noemt welke tools de werkgever gebruikt. Wie één SIEM kent, leert een tweede sneller, omdat de vragen hetzelfde blijven.

Welke opleiding en certificeringen passen bij een SIEM Engineer?

Er is geen vaste opleidingseis. Een hbo- of wo-opleiding in ICT of security is een gangbare route, en zij-instroom vanuit systeembeheer, netwerkbeheer of devops komt voor. Een certificering vervangt ervaring met een platform niet, maar laat zien dat je de basis kent.

Voor basiskennis is CompTIA Security+ een voorbeeld. GIAC omschrijft de GCDA (GIAC Certified Detection Analyst) als bevestiging van het vermogen om SIEM-hulpmiddelen en -technieken te gebruiken, met onderwerpen als SIEM-basis en cloudlogging in AWS en Azure. De Microsoft-certificering Security Operations Analyst gaat over de analist en niet over de engineer, maar die leert wel het platform kennen. Wie later breder wil, kan naar de CISSP-certificering kijken. Of een werkgever waarde hecht aan een certificering, verschilt per werkgever.

Hoe word je SIEM Engineer?

Een route die voorkomt loopt via systeembeheer, netwerkbeheer of devops. Wie daar al met servers, accounts of netwerken werkt, kent een deel van de logs al. Een andere route loopt via de functie van SOC Analist, waar je de meldingen en hun bronnen van dichtbij ziet. Een hbo-opleiding in ICT of security kan de start zijn.

Begin in een testomgeving. Zet een SIEM of logplatform op, sluit de logs van een Windows- en een Linuxsysteem aan, lees ze in en controleer of de velden kloppen. Schrijf op wat je koos en waarom, want die afwegingen zijn het deel dat je laat zien. Wie al in het beheer werkt, kan beginnen met het logbeheer van het eigen team. Wie SOC Analist is, kan voorstellen een bron aan te sluiten die nu ontbreekt.

Wat je laat zien is een beschreven opzet met bronnen, controles en afwegingen. Dat is geen garantie voor een functie, maar het laat zien hoe je werkt.

Waar werk je als SIEM Engineer?

Je vindt de functie bij sommige organisaties met een eigen SOC, bij beveiligingsdienstverleners die SIEM-platforms voor anderen beheren, en bij grotere organisaties met veel systemen. Hoe de functie bij een werkgever is ingevuld, staat in de vacature. Kijk bijvoorbeeld naar vacatures in de sectoren financiële dienstverlening, IT, SaaS en technologie en energie en infrastructuur, of bekijk de werkgeverspagina voor SIEM Engineers.

SIEM Engineer of Detection Engineer?

Voor geen van beide rollen bestaat een officieel profiel in het ECSF van ENISA. De uitleg hieronder is vakduiding, en bij veel organisaties doet één persoon of team beide.

Eenvoudig gezegd: zonder SIEM Engineer geen betrouwbare data, zonder Detection Engineer geen betekenisvolle meldingen. Lees de rolgids voor de Detection Engineer voor de andere kant. Bij sommige organisaties is SOC Engineer een brede titel die het platform en de regels samen omvat; zie de rolgids van de SOC Engineer.

Doorgroei kan naar een Senior SIEM Engineer voor grotere en complexere omgevingen, naar een SOC Engineer of Security Engineer voor breder technisch werk, of naar een Detection Engineer die de inhoud van de regels bepaalt. Ook de rollen Security Architect, die ontwerpt hoe logging en monitoring in de hele omgeving passen, en SOC Manager, die het team aanstuurt, zijn mogelijke stappen. Dit is een overzicht, geen belofte. De rolgids voor de Security Engineer en de rolgids voor de SOC Manager geven meer context.

Vacatures en werkgevers

Op de vacaturepagina voor SIEM Engineers zie je welke functies openstaan. Op de werkgeverspagina zie je welke werkgevers SIEM Engineers zoeken. De vacatureteksten laten zien hoe de functie bij elke werkgever is ingevuld, dus lees die naast deze pagina.