Centralize Security Event Alerting

Organisaation tulisi käyttää työkaluja, jotka tukevat sekä manuaalisia että automaattisia hakuja, mukaan lukien kriteereihin perustuvia hakuja. Työkalun pitäisi pystyä automaattisesti kokoamaan tietoja eri lähteistä, jotta voidaan helpommin määrittää, onko kyseessä oikea poikkeama, sekä määrittää sen laajuus ja luonne.

Nämä toiminnot ja prosessit voidaan toteuttaa SIEM:llä (Security information and event management). SIEM-ratkaisuissa käytetään analytiikkatyökaluja, teknologioita ja algoritmeja (esim. uudemmissa SIEM-ratkaisuissa käytetään sovellettua koneoppimista), joiden avulla voidaan havaita tuntemattomia uhkia ja poikkeavuuksia tietoturvan kannalta merkityksellisissä tiedoissa. SIEM-ratkaisujen avulla organisaatiot voivat myös muokata jo olemassa olevia hälytyksiä (yleensä valmiiksi konfiguroituja) ja lisätä kriteereihin perustuvia hälytyksiä vastaamaan tunnettuja uhkia. Nämä asiat auttavat havaitsemaan uhat aikaisemmin.

Suojausjärjestelmissä (esim. palomuuri, haittaohjelmasuojaus) on usein mahdollisuus tallentaa lokia tapahtumista. Varmistakaa säännöllisin aikavälein, että kattavaa lokia kertyy ja pyrkikää tunnistamaan epäilyttävää toimintaa. Lokista on hyötyä myös häiriöiden tai loukkausten tutkinnassa.

Usein turvallisuustyökalut tarjoavat tavan asettaa hälytyksiä (alert policies), kun organisaation ympäristössä tapahtuu jotain mahdollisesti vaarallista. Esim. Microsoft 365 -ympäristössä on sisäänrakennettuja hälytyskäytäntöjä, jotka pyrkivät varoittamaan pääkäyttäjäoikeuksien väärinkäytöstä, haittaohjelmista, mahdollisista sisäistä ja ulkoisista riskeistä sekä riskeistä tietoaineistojen turvallisuudelle.

Organisaation on tunnistettava tietoturvaan liittyvät tapahtumat tietojärjestelmissä sekä niiden toimintaan liittyvissä ympäristöissä. Näihin tapahtumiin liittyviin muutoksiin reagoimiseksi on luotava hälytyskäytännöt.

Hälytyskäytäntöjä on valvottava aktiivisesti ja niitä on muokattava kokemuksen perusteella.

Järjestelmälokit sisältävät usein runsaasti tietoa, josta suuri osa on tietoturvallisuuden tarkkailun kannalta epäolennaista. Jotta tietoturvallisuuden tarkkailun kannalta merkittävät tapahtumat saadaan tunnistettua, olisi harkittava tarkoituksenmukaisten sanomatyyppien automaattista kopiointia toiseen lokiin tai soveltuvien apuohjelmien tai tarkastustyökalujen käyttöä tiedostojen läpikäymisessä ja selvittämisessä.