7 aspects à considérer pour évaluer une solution SIEM - RSA

telles que les informations sur les menaces émergentes,
les données de vulnérabilité, les ressources, les
informations de niveau applications et les informations de
gestion des identités.
Par exemple, un événement de sécurité tel qu'un échec
d'authentification sur un serveur Windows peut être
considéré comme ayant une haute priorité. Cependant, cet
événement combiné à la ressource concernée donnera une
indication contextuelle supplémentaire. Si les données sur
cette ressource indiquent que celle-ci n'a que peu de
valeur, l'échec de l'authentification résulte sur un
événement de faible priorité.
Recommandation n°6 : Administrer le cycle de
vie des informations journalisées
Le stockage des données de logs est l'un des éléments
critiques de toute solution SIEM. Au fil du temps, les
données des logs vont s'accumuler à un rythme accéléré,
causé par deux principaux facteurs :
– L'augmentation du nombre de périphériques et
d'applications sur votre réseau
– Les contraintes réglementaires pour la rétention des
données d'événements de sécurité
Et augmentant potentiellement vos soucis de stockage,
certaines solutions exigent des prétraitements lourds, de
l'indexation et la définition de métadonnées pour
supporter l'analyse des événements. Autant d'opérations
qui peuvent multiplier les besoins de stockage (par un
facteur de dix) et augmenter d'autant les coûts de gestion
de stockage au cours de la durée de vie de votre solution.
Vous devez vous assurer que la solution que vous
choisissez possède des options adaptées de cycle de vie
des données. Il existe au moins un fournisseur d'appliance
majeur qui propose uniquement un stockage embarqué
des données d'événements. Ainsi une solution bien
conçue doit supporter les réseaux de stockage SAN et
NAS. Ceci vous permet d'avoir une solution plus flexible,
moins coûteuse et qui sera également plus résistante d'un
point de vue disponibilité et reprise après incident.
6 Livre Blanc RSA
En tant que Division Sécurité d'EMC - leader mondial dans
la fourniture et le développement de technologies et
solutions d'infrastructure des informations - RSA apporte
son expertise inégalée en matière de stockage et
d'innovations aux solutions SIEM. Par exemple, une
approche de stockage multi-niveau vous permet de stocker
les données d'événements sur des périphériques de
stockage moins coûteux au fil du temps, à mesure que le
besoin d'accès à ces données diminue, tout en vous
garantissant toujours une visibilité complète et une
extraction aisée de ces données, pour des besoins
juridiques, de découverte, réglementaires ou de forensics.
En offrant une compression allant jusqu'à 70 %, sans pour
autant altérer les performances, la solution EMC/RSA réduit
encore plus vos coûts de stockage sur la durée de vie.
Recommandation n°7 : Comprendre les
véritables coûts de la solution
Avant de vous engager sur le choix d'une solution
spécifique, vous devez comprendre quels en seront les
coûts initiaux et sur le long terme. La solution doit
répondre à vos besoins initiaux pour un coût minimal -
afin de vous assurer que vous n'engagez pas des frais
disproportionnés par rapport aux bénéfices que vous allez
en retirer - tout en vous permettant d'élargir le
déploiement à l'ensemble de l'entreprise à un coût
raisonnable. Outre le coût de stockage précédemment
évoqué, vous devez être certain de maîtriser parfaitement
les divers éléments facturés :
– Matériel Serveur. Pour les solutions composées
uniquement de logiciels, il s'agit presque toujours d'un
coût complémentaire.
– Frais de licence logicielle. Quels sont les coûts initiaux
et les coûts récurrents pour le cœur de la plate-forme,
le logiciel agent et les produits tiers tels que les bases
de données?
– Support des sources événementielles. Quelles sources
sont supportées, et quel est le coût pour l'ajout de
sources complémentaires en type et en nombre?