ระบบบริหารจัดการข้อมูลและเหตุการณ์ด้านความปลอดภัย (SIEM)

ระบบบริหารจัดการข้อมูลและเหตุการณ์ด้านความปลอดภัย หรือ SIEM (Security Information and Event Management) คือแนวทางในด้านความปลอดภัยของคอมพิวเตอร์ที่ผสานรวมการจัดการข้อมูลความปลอดภัย (Security Information Management - SIM) และการจัดการเหตุการณ์ความปลอดภัย (Security Event Management - SEM) เข้าด้วยกัน เพื่อให้สามารถวิเคราะห์การแจ้งเตือนด้านความปลอดภัยที่สร้างขึ้นโดยแอปพลิเคชันและฮาร์ดแวร์เครือข่ายได้แบบเรียลไทม์

ระบบ SIEM ถือเป็นหัวใจสำคัญของศูนย์ปฏิบัติการด้านความปลอดภัย (Security Operations Center หรือ SOC) โดยถูกนำมาใช้เพื่อตรวจจับ ตรวจสอบ และตอบสนองต่อเหตุการณ์ด้านความปลอดภัย เทคโนโลยีนี้จะทำการรวบรวมและรวมข้อมูลจากระบบต่างๆ เข้าด้วยกัน ช่วยให้องค์กรสามารถปฏิบัติตามข้อกำหนดทางกฎหมายและมาตรฐานความปลอดภัย พร้อมทั้งป้องกันภัยคุกคามทางไซเบอร์ได้อย่างมีประสิทธิภาพ

องค์ประกอบและการทำงานของ SIEM

SIEM สามารถนำมาใช้งานได้ในรูปแบบของซอฟต์แวร์ ฮาร์ดแวร์ หรือบริการแบบจัดการ (Managed Services) โดยมีหน้าที่หลักคือการบันทึกเหตุการณ์ด้านความปลอดภัย (Security Events) และสร้างรายงานเพื่อตอบสนองต่อกรอบการทำงานด้านกฎระเบียบ เช่น Health Insurance Portability and Accountability Act (HIPAA) และ Payment Card Industry Data Security Standard (PCI DSS)

การผสานรวม SIM และ SEM

• SIM (Security Information Management): เน้นการรวบรวมข้อมูลล็อก (Log) และการจัดเก็บข้อมูลระยะยาวเพื่อการวิเคราะห์ย้อนหลังและการทำรายงานให้สอดคล้องกับข้อกำหนด
• SEM (Security Event Management): เน้นการตรวจสอบเหตุการณ์ที่เกิดขึ้นในปัจจุบันแบบเรียลไทม์ การแจ้งเตือน และการวิเคราะห์ความสัมพันธ์ของเหตุการณ์ (Correlation) เพื่อตรวจจับภัยคุกคามที่กำลังเกิดขึ้น

การรวมทั้งสองส่วนนี้ทำให้องค์กรมีแนวทางแบบศูนย์กลางในการเฝ้าระวังและตอบสนองต่อภัยคุกคามได้อย่างทันท่วงที

ประวัติและการพัฒนา

ในยุคแรก การบันทึกระบบ (System Logging) ถูกใช้เพื่อการแก้ไขปัญหา (Troubleshooting) และการดีบั๊ก (Debugging) เป็นหลัก แต่เมื่อระบบปฏิบัติการและเครือข่ายมีความซับซ้อนมากขึ้น รวมถึงการโจมตีทางไซเบอร์มีความรุนแรงขึ้น การตรวจสอบล็อกจึงกลายเป็นสิ่งจำเป็น

ในช่วงปลายทศวรรษ 1970 กลุ่มทำงานต่างๆ เริ่มกำหนดเกณฑ์สำหรับการจัดการโปรแกรมการตรวจสอบและการเฝ้าระวัง ซึ่งเป็นรากฐานของการตรวจจับภัยคุกคามจากภายใน (Insider Threat Detection) และการตอบสนองต่อเหตุการณ์ในปัจจุบัน โดยมีเอกสารสำคัญอย่าง NIST Special Publication 500-19

คำว่า "SIEM" ถูกนำมาใช้ครั้งแรกในปี 2005 โดย Mark Nicolett และ Amrit Williams นักวิเคราะห์จาก Gartner โดยนิยามของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ระบุว่า SIEM คือแอปพลิเคชันที่สามารถรวบรวมข้อมูลความปลอดภัยจากส่วนประกอบของระบบสารสนเทศ และนำเสนอข้อมูลนั้นในรูปแบบที่สามารถนำไปปฏิบัติการได้ (Actionable Information) ผ่านอินเทอร์เฟซเดียว

บทบาทในปัจจุบันและการปฏิบัติตามข้อกำหนด

ปัจจุบัน SIEM ได้รับการบรรจุเข้าเป็นส่วนหนึ่งของโครงการความมั่นคงปลอดภัยทางไซเบอร์ระดับชาติ เช่น คำสั่งบริหาร (Executive Order) 14028 ของประธานาธิบดีโจ ไบเดน ในปี 2021 ที่กำหนดให้ระบบของรัฐบาลกลางสหรัฐฯ ต้องใช้เทคโนโลยี SIEM เพื่อปรับปรุงการตรวจจับและการรายงานเหตุการณ์

นอกจากนี้ แพลตฟอร์ม SIEM สมัยใหม่ยังไม่ได้รวบรวมข้อมูลเพียงแค่จากระบบเทคโนโลยีสารสนเทศ (IT) เท่านั้น แต่ยังรวมถึงข้อมูลจากสภาพแวดล้อมเทคโนโลยีการดำเนินงาน (Operational Technology - OT) ในภาคการผลิตและอุตสาหกรรมด้วย เพื่อให้เห็นภาพรวมของความปลอดภัยครอบคลุมทั้งองค์กร

มาตรฐานที่เกี่ยวข้อง

แนวทางการจัดการล็อกความปลอดภัยของคอมพิวเตอร์ตาม NIST SP 800-92 เป็นเอกสารสำคัญที่ช่วยกำหนดสิ่งที่ควรถูกตรวจสอบ (Auditable) ซึ่งมาตรฐานและกฎระเบียบหลายฉบับอ้างอิงถึงแนวทางนี้ เช่น:

• FISMA: Federal Information Security Management Act
• GLBA: Gramm-Leach-Bliley Act
• HIPAA: กฎหมายว่าด้วยการโอนย้ายและความรับผิดชอบด้านข้อมูลสุขภาพ
• SOX: Sarbanes-Oxley Act
• PCI DSS: มาตรฐานความปลอดภัยข้อมูลสำหรับอุตสาหกรรมบัตรชำระเงิน
• ISO 27001: มาตรฐานสากลสำหรับระบบจัดการความมั่นคงปลอดภัยสารสนเทศ