Wat is een SIEM? Uitleg, werking en voorbeeld

Wat is een SIEM?

Een SIEM brengt beveiligingsgegevens uit veel onderdelen van een informatiesysteem samen op één plek. Het probleem dat dit oplost: elk systeem schrijft zijn eigen logs, in zijn eigen formaat, op zijn eigen plek. Wie wil weten wat er is gebeurd, moet op al die plekken zoeken. Een SIEM zet de logs op één plek, in een vergelijkbaar formaat, en laat regels erover waken.

De term komt van oudere begrippen. SEM (security event management) richtte zich op incidentafhandeling en SIM (security information management) op auditing. Volgens NIST zijn dat oudere termen, en de meeste producten doen nu beide, waardoor SIEM de passende term is.

Een SIEM is zelf geen beveiligingsmaatregel die iets blokkeert. Het is een hulpmiddel voor monitoring: het geeft inzicht, en het blokkeert alleen iets als je het daarop inricht.

Hoe werkt een SIEM?

Een SIEM werkt in vijf stappen, van het verzamelen van logs tot de melding die een analist opent. De drie lagen die NIST SP 800-92 beschrijft, zijn het kader: de logbronnen, de analyse en opslag, en de bewaking.

1. Verzamelen. Een SIEM haalt logs op of ontvangt ze, agentloos of met een agent. Bij agentloos verzamelen is er geen speciale software op de systemen nodig, dus hoef je geen agents te installeren en te onderhouden. Filteren en bundelen gebeurt dan niet bij de bron, dus er gaan meer gegevens over het netwerk, en de SIEM-server heeft soms inloggegevens nodig voor elk systeem. Met een agent filtert, bundelt en normaliseert een programma op het systeem zelf de gebeurtenissen voordat ze worden doorgestuurd.
2. Filteren en bundelen. Niet elke logregel is even nuttig. Filteren laat de ruis weg en bundelen zet gelijksoortige gebeurtenissen samen.
3. Normaliseren. Elk logveld wordt omgezet naar een vaste weergave, bijvoorbeeld datum en tijd in één formaat. Dat maakt analyse en rapportage makkelijker als er meerdere logformaten zijn.
4. Koppelen. Regels koppelen logregels van een of meer bronnen aan elkaar, op waarden als tijdstempels, IP-adressen en gebeurtenistypen. Het resultaat is een nieuwe logregel of een melding dat iets nader onderzoek vraagt.
5. Melding en onderzoek. De analist krijgt de melding en onderzoekt die. Microsoft Sentinel groepeert meldingen bijvoorbeeld tot incidenten.

Regels kun je ordenen met MITRE ATT&CK. Microsoft Sentinel kan de dekking volgens die tactieken en technieken tonen.

Een voorbeeld: van inlogpogingen naar één melding

Dit is een gedachte-experiment om de werking te laten zien. Het is geen beschrijving van één product en geen telling van hoe vaak zoiets gebeurt.

Op een werkdag loopt de VPN-dienst vol met mislukte inlogpogingen voor één account, vanaf één extern adres. Elke poging staat als losse regel op de VPN-server en lijkt op zichzelf onschuldig.

Daarna volgt een geslaagde inlog voor hetzelfde account, vanaf hetzelfde adres. Even later staat in de logs van de directory dat dit account een nieuw account met beheerdersrechten heeft aangemaakt. Geen van de drie logbronnen ziet het geheel.

Een SIEM-regel koppelt de inlogfouten, de geslaagde inlog en het aanmaken van het beheerdersaccount binnen korte tijd aan hetzelfde account en adres. Pas dan ontstaat één melding. De analist opent die melding en ziet de drie gebeurtenissen op een rij. Vervolgens bekijkt de analist de gerelateerde logregels en controleert bij de eigenaar van het account of dit de medewerker zelf was. Bij twijfel start een incidentprocedure: het account wordt geblokkeerd, het wachtwoord of de sleutel wordt vervangen en het nieuwe account wordt nagekeken.

Welke logbronnen sluit je aan?

NIST SP 800-92 onderscheidt drie categorieën beveiligingslogs: beveiligingssoftware, besturingssystemen en applicaties. In gewone taal valt daaronder een firewall, een EDR-tool of een e-mailfilter, een besturingssysteem zoals Windows of Linux, en een applicatie zoals een webserver. In de praktijk horen er ook identiteitsdiensten bij, die laten zien wie inlogt en wie rechten krijgt, en cloudplatformen zoals Azure, die laten zien wie wat aanmaakt.

Op de pagina Forensic Readiness adviseert het NCSC om loginformatie door te sturen naar een aparte logserver of SIEM, omdat sommige apparaten oude logs overschrijven als de opslag vol raakt. Het NCSC adviseert ook logs ten minste 90 dagen te bewaren. Dat is een advies en geen wettelijke eis. Het Incidentresponsplan Ransomware van het NCSC noemt onder monitoring en detectie beveiligde en centrale logging in het netwerk.

Meer bronnen is niet altijd beter. Elke bron kost opslag, onderhoud en aandacht. Wie een nieuwe bron aansluit, moet eerst weten welke vraag het log moet kunnen beantwoorden.

SIEM, logbeheer, EDR en SOAR: wat is het verschil?

NIST merkt op dat logbeheersoftware een breed scala aan logs aankan en niet gericht is op beveiligingsanalyse. Een SIEM richt zich juist op die analyse. Een EDR-tool kijkt diep op werkstations en servers. SOAR voert met playbooks vaste stappen uit zodra een melding binnenkomt.

In veel organisaties werken ze samen: EDR levert meldingen en gegevens aan het SIEM, het SIEM koppelt die aan andere bronnen, en SOAR voert de vaste stappen uit.

Welke SIEM-platforms bestaan er?

Voorbeelden van SIEM-platforms zijn Microsoft Sentinel, Splunk en Elastic Security. Het zijn voorbeelden, geen vergelijking of rangorde.

Microsoft Sentinel is een cloud-native SIEM met kant-en-klare gegevenskoppelingen en ondersteuning voor eigen koppelingen. Sentinel normaliseert gegevens bij het inlezen en bij het zoeken, en watchlists koppelen eigen lijsten, zoals waardevolle systemen of dienstaccounts, aan gebeurtenissen. Volgens Microsoft op 5 november 2026 wordt Microsoft Sentinel na 31 maart 2027 niet meer ondersteund in de Azure-portal en is het alleen nog beschikbaar in de Microsoft Defender-portal. Kijk op die pagina voor de actuele stand.

Elastic Security heeft een detection engine die gegevens toetst aan detectieregels en daar meldingen uit haalt. Regels kunnen gebeurtenissen uit meerdere bronnen koppelen. Het overzicht toont ook meldingen van Elastic Defend, de endpointbescherming, en van externe hulpmiddelen zoals Suricata.

De keuze voor een platform hoort bij de organisatie, en de vacature noemt welk platform er wordt gebruikt. Wie één platform kent, leert een tweede meestal sneller, omdat de vragen hetzelfde blijven: wat gebeurde er, op welk systeem, en door wie.

Wat gaat er vaak mis met een SIEM?

De eerste valkuil is de stille bron. Als een firewall na een update een ander logformaat gebruikt, kunnen velden leeg binnenkomen. Regels die op die velden vertrouwen zien dan niets meer, en er komt geen foutmelding. Controles op de gezondheid van bronnen, zoals of er nog verkeer binnenkomt en of de velden gevuld zijn, signaleren dat. "Geen melding" is niet hetzelfde als "geen incident".

De tweede is tijd. Systemen in meerdere tijdzones moeten tijden naar één tijdzone omzetten, en klokken lopen niet altijd gelijk. NIST adviseert tijdsynchronisatie met NTP-servers.

De derde is onbetrouwbare aanlevering. Syslog is ontwikkeld in een tijd waarin logbeveiliging geen groot aandachtspunt was. De meeste implementaties gebruiken UDP, dat geen zekerheid geeft dat regels aankomen of in de juiste volgorde. In syslog-berichten zijn bovendien geen standaardvelden gedefinieerd, wat geautomatiseerde analyse lastig maakt.

De vierde is te veel meldingen. Alarmmoeheid en te weinig bronnen zijn de twee kanten van dezelfde afweging. Afstellen van regels is doorlopend werk.

Logs kunnen gebruikersnamen, adressen en andere persoonsgegevens bevatten. Daarom zijn afspraken nodig over wie logs mag inzien en hoe lang ze worden bewaard. Lees het AVG-artikel en de afspraken van je eigen organisatie.

Een SIEM werkt alleen goed als het goed is ingericht en blijft worden onderhouden. Het Canadese Cyber Centre schrijft op een pagina over gezamenlijke SIEM- en SOAR-richtlijnen dat zulke platforms voor een goede werking afhankelijk zijn van juiste inrichting en onderhoud in de loop van de tijd.

Wie werkt met een SIEM?

• SOC-analist. Gebruikt het SIEM om meldingen te beoordelen en te onderzoeken. Zie de vacatures en de rolgids.
• SIEM Engineer. Bouwt en beheert het platform en zorgt dat de bronnen binnenkomen en kloppen. Zie de vacatures, de werkgeverspagina en de rolgids.
• Detection Engineer. Schrijft en onderhoudt de regels die meldingen maken. Zie de vacatures en de rolgids.
• Incident Responder. Gebruikt het SIEM om te reconstrueren wat er is gebeurd. Zie de vacatures.
• SOC Manager. Stuurt het team en de dekking aan. Zie de vacatures.
• Security Architect. Ontwerpt waar logging in het geheel past. Zie de vacatures.

De titels verschillen per organisatie. ENISA publiceerde in september 2022 het European Cybersecurity Skills Framework met twaalf rolprofielen (CC BY 4.0). Een profiel SIEM Engineer of Detection Engineer staat er niet bij. Het profiel Cyber Incident Responder noemt als alternatieve titels onder meer Security Operations Center (SOC) Analyst en Cybersecurity SIEM Manager.