SIEM și răspuns la incidente în România

Ce colectăm și ce corelăm

Un SIEM util începe de la surse, nu de la interfață. Colectăm autentificări și sudo de pe servere, jurnalele aplicației, cererile blocate de WAF, evenimente de rețea, accesul la baze de date, conexiunile VPN și schimbările de configurație. Le normalizăm, le corelăm și le legăm la tactici MITRE ATT&CK, ca o alertă să spună ce s-a încercat, nu doar ce linie de log a apărut. Retenția o stabilim după cerințele tale de audit, iar datele rămân în UE.

• Autentificări, escaladări de privilegii, chei SSH noi
• Cereri blocate de WAF și tipare de abuz pe API
• Modificări de configurație și pachete instalate
• Acces la baze de date și export de volume mari
• Conexiuni VPN, sesiuni administrative, acces la panouri

Corelare și triaj asistate de AI

Volumul e problema: câteva servere produc milioane de linii pe zi, iar atacul folosește credențiale valide și unelte deja instalate. Atacatorii automatizează recunoașterea și phishing-ul cu modele AI, deci încercările vin mai des și arată mai curat. De partea apărării folosim corelare și triaj asistate de AI: gruparea alertelor legate într-un singur caz, scoruri de context, sumarizarea traseului. Modelul propune ipoteza, regula deterministă declanșează, iar decizia de izolare a unui server o ia un om. Așa scad fals pozitivele fără să pierdem semnalul rar.

Răspuns la incidente și raportare NIS2

Planul de răspuns se scrie înainte, nu în timpul incidentului: cine izolează serverul, cine schimbă cheile, de unde se restaurează backup-ul, ce comunicăm și cui. Dacă intri sub NIS2, transpusă prin OUG 155/2024 și ordinele DNSC, termenele sunt scurte (avertizare timpurie în 24 de ore, notificare în 72 de ore), iar neconformitatea aduce sancțiuni administrative și măsuri corective obligatorii. Logurile corelate și cronologia din SIEM sunt exact ce cere raportarea.

Ce intră în cota lunară de ore

Colectoarele, regulile de detecție și panourile se cer din panoul de client, secțiunea „Servicii DevOps”. Cota lunară diferă pe plan: o oră la cPanel, de la Advanced în sus, între una și opt ore la VPS, între cinci și zece ore la servere dedicate, în funcție de plan, și zece ore la GPU. În ea încap întreținerea regulilor, curățarea zgomotului, revizuirea alertelor și un exercițiu de restaurare. Un incident amplu cere mai mult, iar orele peste cotă se facturează separat, la oră, cu estimarea acceptată în avans. Cota expiră la finalul lunii calendaristice.

Cum lucrăm

1. Cererea din panou

   Ceri implementarea SIEM din „Servicii DevOps”, ne spui ce servicii rulezi, ce retenție îți cere auditul și cine primește alertele.

2. Scoping și surse de log

   Inventariem sursele, definim retenția, nivelurile de severitate și canalele de escaladare. Fixăm termenul de livrare pe care îl propui tu.

3. Implementare și reglaj

   Instalăm colectoarele, scriem regulile Sigma pe stiva ta și calibrăm pragurile două-trei săptămâni, ca alertele să rămână acționabile.

4. Predare cu runbook-uri

   Predăm panourile, regulile documentate și runbook-urile de răspuns, plus un exercițiu pe un scenariu real, ca echipa ta să știe pașii.

Cazuri de utilizare

Tehnologii

• Wazuh
• Suricata
• OpenSearch
• Grafana Loki
• Sigma
• Filebeat
• TheHive
• MITRE ATT&CK

Întrebări frecvente

• Ce este SIEM?

  Un sistem care adună logurile din toată infrastructura, le normalizează și le corelează, apoi generează alerte pe reguli de detecție. Fără SIEM, fiecare server are propriul jurnal și nimeni nu vede tiparul care le leagă: același IP, același cont, aceeași secvență de comenzi.

• XDR sau SIEM: ce alegem?

  SIEM-ul e centrat pe loguri și acoperă orice sursă, inclusiv aplicații proprii. XDR pornește de la agenți pe stații și servere și corelează telemetria lor. Pe infrastructură găzduită, SIEM-ul cu agenți de detecție pe servere acoperă mai bine, pentru că include WAF, baze de date și rețea.

• Ce SIEM open-source pot folosi?

  Wazuh acoperă detecția pe servere, verificarea integrității fișierelor și corelarea, iar Suricata adaugă vizibilitate pe rețea. Le rulăm pe infrastructura ta, cu OpenSearch pentru căutare și Grafana pentru panouri. Rămâi proprietarul datelor și al regulilor, fără licență per gigabyte.

• Cât timp am să raportez un incident la DNSC sub NIS2?

  Regimul NIS2, transpus prin OUG 155/2024, cere o avertizare timpurie în 24 de ore de la constatare și o notificare completă în 72 de ore, urmate de raportul final. De aceea ținem cronologia, dovezile și lista sistemelor afectate pregătite în SIEM.

• Cum se detectează atacurile în timp real?

  Prin reguli pe evenimente care contează: autentificări reușite din locuri noi, escaladări de privilegii, chei SSH adăugate, cereri blocate în serie, export neobișnuit de date. Alertele merg pe canalele tale, iar cele critice declanșează runbook-ul de izolare, nu doar un e-mail.

• Unde sunt stocate logurile?

  Pe infrastructura noastră din UE, la Frankfurt, cu contract de prelucrare conform art. 28 GDPR și clauze contractuale standard dacă intervine un transfer. Retenția o alegi tu, în funcție de cerințele de audit, iar accesul rămâne restrâns la persoanele nominalizate.