Een SIEM is slechts zo nuttig als de gegevens waarover het beschikt. Zelfs de krachtigste correlatie-engine ter wereld levert geen bruikbare informatie op als de helft van de omgeving niet in het systeem wordt ingevoerd. Als het EDR-platform en het SIEM-systeem parallel draaien zonder integratie, als telemetrie van cloudapplicaties in een apart dashboard blijft steken of als gegevens over netwerkverkeer nooit de logboekaggregatielaag bereiken, ontstaan er hiaten in het inzicht die de detectie van en reactie op bedreigingen verzwakken. SIEM-integratie is wat deze hiaten dicht.

SIEM-integratie is het proces waarbij een SIEM wordt gekoppeld aan de andere beveiligingstools, platforms en gegevensbronnen in uw IT-omgeving, zodat loggegevens centraal worden verzameld, bedreigingen over verschillende systemen heen kunnen worden gecorreleerd en het SIEM-systeem daadwerkelijk zijn werk kan doen. Voor de meeste organisaties is integratie geen eenmalige installatietaken. Het is een doorlopend onderdeel van het beheer van een beveiligingsoperatie die gelijke tred houdt met een veranderende omgeving.

Kaseya SIEM verwerkt telemetriegegevens via meer dan 60 ingebouwde connectoren voor eindpunten, de cloud, netwerken, identiteitsbeheer en e-mailbronnen. Voor bronnen waarvoor nog geen ingebouwde connector beschikbaar is, wordt gebruikgemaakt van webhooks. Zo krijgen we een direct inzicht in hoe de integratiearchitectuur de detectiekwaliteit in de praktijk beïnvloedt.

Wat is SIEM-integratie?

SIEM-integratie verwijst naar het proces waarbij een systeem voor beveiligingsinformatie- en gebeurtenissenbeheer wordt gekoppeld aan andere tools, platforms en infrastructuurcomponenten binnen de IT-omgeving van een organisatie. Het doel is om een gecentraliseerde stroom van beveiligingsrelevante gegevens te creëren vanuit eindpunten, firewalls, cloudplatforms, identiteitssystemen, SaaS-toepassingen en netwerkapparatuur naar het SIEM-systeem, waar deze gegevens kunnen worden genormaliseerd, gecorreleerd en gezamenlijk geanalyseerd.

Zonder integratie krijgt een SIEM slechts een gedeeltelijk beeld. Het systeem ziet misschien wel authenticatielogboeken uit Active Directory, maar niets van cloudapplicaties. Het ontvangt wellicht firewallwaarschuwingen, maar geen telemetriegegevens van eindpunten. Bedreigingen die zich over meerdere vlakken uitstrekken – wat kenmerkend is voor de meest geavanceerde aanvallen – blijven ofwel onopgemerkt, of vereisen handmatige correlatie tussen onderling niet-gekoppelde tools. Dezelfde verdachte aanmelding die op zichzelf onopvallend lijkt, wordt een duidelijke aanval op basis van inloggegevens wanneer deze wordt gecorreleerd met ongebruikelijk procesgedrag op hetzelfde eindpunt en een voorval van privilege-escalatie in de cloud, maar alleen als alle drie de gegevensbronnen in hetzelfde systeem worden ingevoerd.

Als SIEM nog nieuw voor je is, legt onze gids over SIEM uit hoe het werkt en wat je van een implementatie kunt verwachten, voordat we dieper ingaan op de integratielaag.

Hoe SIEM-integratie werkt

De integratie van SIEM verloopt volgens een vast technisch patroon, ongeacht welke tools worden gekoppeld. Hieronder volgt het algemene vierstappenplan:

Verbinding en authenticatie: Het SIEM-systeem maakt via een API verbinding met elke gegevensbron, waarbij het zich met een token of inloggegevens authenticeert en met een vastgestelde frequentie controleert of er nieuwe gebeurtenissen zijn. Voor realtime gegevens sturen webhooks gebeurtenissen naar het SIEM-systeem zodra deze plaatsvinden. Oudere of gespecialiseerde systemen maken doorgaans gebruik van Syslog of SNMP om logbestanden door te sturen naar een verzamelagent.
Gegevensnormalisatie: loggegevens komen vanuit verschillende bronnen in uiteenlopende formaten binnen. Door normalisatie wordt alles omgezet naar een uniform schema, zodat de correlatie-engine van het SIEM-systeem gebeurtenissen uit uiteenlopende bronnen op een uniforme manier kan verwerken.
Verrijking: Genormaliseerde gebeurtenissen worden verrijkt met context: de identiteit van de gebruiker uit de directorydienst, details over de bedrijfsmiddelen, IP-geolocatie en feeds met informatie over bedreigingen. Door deze verrijking wordt een ruwe gebeurtenis omgezet in een contextueel overzicht dat de analist laat zien wie erbij betrokken was, welk systeem werd getroffen en of de activiteit overeenkomt met bekende bedreigingspatronen.
Correlatie: Verrijkte, genormaliseerde gebeurtenissen worden door de correlatiemotor geleid, waar regels en gedragsanalyses patronen tussen verschillende bronnen identificeren. Dit is het resultaat van de integratie: het moment waarop een EDR-waarschuwing, een identiteitsgebeurtenis en een firewallverbinding worden herkend als onderdeel van hetzelfde incident, omdat alle drie de gegevensstromen aanwezig zijn.

Soorten SIEM-integraties

Niet alle integraties hebben hetzelfde doel. De onderstaande categorieën omvatten de verschillende gegevensbronnen die de meeste organisaties moeten integreren om volledig inzicht te krijgen.

Telemetriegegevens van eindpunten
EDR-platforms behoren tot de meest waardevolle SIEM-gegevensbronnen, omdat veel aanvallen voor het eerst zichtbaar worden in de telemetrie van eindpunten. Informatie over procesuitvoering, bestandswijzigingen, aanpassingen in het register en netwerkverbindingen wordt doorgegeven aan SIEM voor correlatie over verschillende systemen heen. Voor een uitgebreider overzicht van hoe deze twee systemen samenwerken, raadpleeg je onze gids over EDR versus SIEM.

Activiteitenlogboeken in de cloud
, AWS CloudTrail, Azure Monitor en de auditlogboeken van Google Cloud bieden een continu overzicht van API-aanroepen, configuratiewijzigingen en toegangsgebeurtenissen in cloudomgevingen. Voor hybride omgevingen overbruggen deze integraties de kloof in zichtbaarheid tussen on-premises en cloudomgevingen. Lees meer in onze diepgaande analyse over cloud-SIEM.

SaaS-applicatiegebeurtenissen
Microsoft 365, Google Workspace, Salesforce, Slack en soortgelijke platforms genereren authenticatiegebeurtenissen, logboeken van bestandstoegang, wijzigingen in machtigingen en gegevensexportgebeurtenissen die door on-premise tools niet kunnen worden verwerkt. SaaS-integraties brengen de applicatielaag – waar aanvallen op basis van inloggegevens en gegevensdiefstal het vaakst voorkomen – binnen het correlatiebereik van het SIEM-systeem.

Identiteits- en toegangsgebeurtenissen
Active Directory, Entra ID, Okta en andere identiteitsproviders vormen cruciale SIEM-gegevensbronnen, omdat identiteit de toegang tot vrijwel elk ander systeem regelt. Dankzij authenticatiegebeurtenissen, het uitbreiden van rechten en wijzigingen in accounts kan SIEM gecompromitteerde inloggegevens en laterale bewegingen opsporen waarbij legitieme inloggegevens worden gebruikt.

Netwerkverkeersgegevens
-firewalllogboeken, IDS-waarschuwingen, DNS-querylogboeken en netwerkstromingsgegevens bieden SIEM inzicht in verkeerspatronen binnen de hele omgeving, waardoor ze bijzonder waardevol zijn voor het opsporen van command-and-control-communicatie en laterale verplaatsingen tussen netwerksegmenten.

Signalen van e-mail en phishing
Door e-mailbeveiligingsgateways en logbestanden van de e-mailstroom te integreren, kan SIEM indicatoren van phishing-gerelateerde bedreigingen koppelen aan daaropvolgende activiteiten op eindpunten en met betrekking tot identiteiten, waardoor een klik op een kwaadaardige e-mail in verband kan worden gebracht met de daaropvolgende afwijking in de authenticatie.

Feeds met informatie over bedreigingen
Externe feeds met informatie over bedreigingen leveren realtime gegevens over bekende kwaadaardige IP-adressen, domeinen en bestands-hashes. Door deze informatie te integreren met SIEM worden waarschuwingen verrijkt en kan het systeem bekende bedreigingen herkennen die op basis van gedragsregels alleen wellicht over het hoofd zouden worden gezien.

Respons- en workflowtools, z
e SOAR-platforms en PSA- of ITSM-ticketsystemen, zijn aan de uitgang van het SIEM-systeem gekoppeld. Door het SIEM te integreren met SOAR worden bevestigde bedreigingen direct doorgestuurd naar geautomatiseerde playbooks, terwijl ticketintegraties ervoor zorgen dat incidenten worden bijgehouden en gedocumenteerd zonder dat er handmatig gegevens hoeven te worden ingevoerd.

Voordelen van SIEM-integratie

De argumenten voor een grondige SIEM-integratie zijn in wezen dezelfde als die voor het SIEM-systeem zelf. Je kunt alleen reageren op wat je ziet.

Het belangrijkste voordeel is het opsporen van bedreigingen in verschillende omgevingen. Dankzij volledige integratie kan SIEM gebeurtenissen met elkaar in verband brengen in omgevingen die voorheen geen zicht op elkaar hadden. Een aanvaller die een eindpunt compromitteert, zijn rechten uitbreidt via een identiteitsprovider en gegevens via cloudopslag buitmaakt, laat op drie plaatsen sporen achter. Door integratie worden deze sporen samengevoegd tot één samenhangend incidentverhaal, en omdat analisten verrijkte waarschuwingen ontvangen waarin de volledige context al is samengevat, neemt de onderzoekstijd aanzienlijk af in vergelijking met het handmatig kruisverwijzen tussen losstaande tools.

Een betere integratie leidt ook tot een betere correlatie, wat weer zorgt voor minder valse alarmen. Wanneer een SIEM-systeem een melding kan toetsen aan meerdere gegevensbronnen, kan het vóór escalatie controleren of er ondersteunend bewijs is voor een verdachte gebeurtenis. Dit vermindert het aantal meldingen en verbetert tegelijkertijd de kwaliteit ervan. Beveiligingsteams hoeven niet langer tussen verschillende dashboards te schakelen om te achterhalen wat er is gebeurd, maar kunnen in plaats daarvan werken vanuit één interface waarin alle informatie direct zichtbaar is.

Naleving vloeit vanzelf voort uit volledige integratie. Regelgeving schrijft voor dat logbestanden moeten worden bewaard en dat de toegang tot de volledige IT-omgeving van een organisatie moet worden gecontroleerd. Een SIEM-systeem dat geen integraties biedt voor de betreffende systemen, voldoet niet aan deze eisen, hoe goed het de rest ook bewaakt.

Uitdagingen bij SIEM-integratie

Integratie is ook het gebied waarop SIEM-implementaties het vaakst tekortschieten. De twee meest voorkomende problemen zijn hiaten in de dekking en inconsistenties in de normalisatie.

Er ontstaan hiaten in de dekking omdat niet elke gegevensbron over een kant-en-klare native integratie beschikt. Voor verouderde systemen, op maat gemaakte applicaties en OT-apparaten zijn mogelijk aangepaste connectoren of configuraties voor het doorsturen van logbestanden nodig, wat veel tijd in beslag neemt. Organisaties ontdekken deze hiaten vaak pas tijdens een incident, wanneer blijkt dat een gehackt systeem logbestanden heeft gegenereerd die nooit bij het SIEM-systeem zijn aangekomen.

Inconsistenties bij de normalisatie zijn subtieler, maar even schadelijk. Als een veld zoals ‘bron-IP’ niet consistent wordt toegewezen in verschillende logboekformaten, leveren correlatieregels die hiervan afhankelijk zijn onnauwkeurige resultaten op. Dit is een van de belangrijkste verschillen tussen een SIEM met 30 grondig onderhouden connectoren en een met 300 oppervlakkige connectoren.

Twee operationele uitdagingen worden in de loop van de tijd steeds groter:

Datavolume en prestaties: Volledige integratie leidt tot grote hoeveelheden data. Als je op grote schaal integreert zonder strategisch te filteren, kan dit de verwerkingscapaciteit overbelasten en de opslagkosten opdrijven. Het doel is om alleen die logbestanden op te nemen die van belang zijn voor detectie en naleving, en de rest al in een vroeg stadium te filteren.
Integraties up-to-date houden: beveiligingstools werken hun API’s bij en cloudplatforms wijzigen hun logboekformaten. Een integratie die zes maanden geleden nog werkte, kan vandaag de dag ongemerkt niet meer functioneren. Bij een beheerde SIEM-dienst is dit onderhoud de verantwoordelijkheid van de provider; bij een zelfgehoste implementatie is dit de verantwoordelijkheid van het interne team.

Best practices voor SIEM-integratie

De volgende werkwijzen helpen organisaties bij het opzetten van een integratiearchitectuur die volledig en onderhoudbaar is en waarvan de detectiekwaliteit in de loop van de tijd verbetert.

Geef prioriteit aan gegevensbronnen op basis van detectiewaarde, niet op basis van integratiegemak
Bij het opzetten van een SIEM-implementatie bestaat de verleiding om eerst die bronnen aan te sluiten die het gemakkelijkst te koppelen zijn. Dit leidt tot een SIEM die inzicht biedt in de minst interessante delen van de omgeving en juist de meest kwetsbare delen over het hoofd ziet. Telemetrie van eindpunten, identiteitslogboeken en activiteiten op cloudplatforms moeten prioriteit krijgen, ongeacht de complexiteit van de integratie, omdat daar de meeste aanvallen hun sporen achterlaten.

Gebruik waar mogelijk de standaardconnectoren
. Kant-en-klare connectoren die door de leverancier worden onderhouden, zijn doorgaans betrouwbaarder dan op maat gemaakte integraties. Wijzigingen in logboekformaten, API-updates en normalisatiemappingen worden als onderdeel van het doorlopende onderhoud door de leverancier afgehandeld, zodat het interne team daar geen werk aan heeft. Bij het beoordelen van SIEM-leveranciers zijn de diepgang en de onderhoudskwaliteit van hun connectorbibliotheek belangrijker dan het totale aantal connectoren.

Zorg voor een volledige gegevensbasis voordat u detectie
afstemt. Correlatieregels en gedragsanalyses leveren alleen zinvolle resultaten op als de gegevens die ze analyseren volledig zijn. Controleer, voordat u veel tijd en middelen in het afstemmen van regels steekt, of alle belangrijke gegevensbronnen zijn aangesloten, of de gegevensstroom verloopt zoals verwacht en of de normalisatie consistent is. Een detectieregel die is afgestemd op onvolledige gegevens, zal zelfs na afstemming onnauwkeurige resultaten opleveren.

Implementeer webhook-opname voor niet-standaard bronnen
Voor gegevensbronnen die geen ingebouwde SIEM-connector hebben, is opname via webhooks de meest praktische oplossing. In plaats van een aangepaste polling-integratie te bouwen, kunt u de bron zo configureren dat gebeurtenissen direct naar een door het SIEM-systeem geleverd webhook-eindpunt worden verzonden zodra ze plaatsvinden. Deze aanpak is sneller te implementeren, ondersteunt realtime gegevenslevering en vereist geen onderhoud van een aangepaste integratie naarmate de API’s van de bronnen veranderen.

Houd de status van de integraties continu in de gaten
Een defecte integratie genereert geen waarschuwingen, waardoor deze er net zo uitziet als een omgeving zonder bedreigingen. Om de integriteit van de dekking van het SIEM-systeem te waarborgen, is het essentieel om actief te controleren of elke aangesloten bron de gegevens op tijd aanlevert, of het aantal gebeurtenissen binnen de verwachte marges valt en of er normalisatiefouten optreden. Neem dashboards voor de status van de integraties op in uw dagelijkse werkprocessen, en niet alleen in uw checklist voor de eerste installatie.

Hoe Kaseya SIEM integratie aanpakt

De kracht van een SIEM-integratie staat of valt met de onderliggende data-infrastructuur. Een SIEM met brede, goed onderhouden en diepgaand genormaliseerde integraties biedt een betere detectie dan een systeem met meer functies maar een minder uitgebreide dekking.

Kaseya SIEM verzamelt telemetrie via meer dan 60 native connectoren, variërend van eindpunten via Datto EDR tot gebeurtenissen in cloudapplicaties via SaaS Alerts (waaronder Microsoft 365, Google Workspace, Salesforce, Slack en andere grote SaaS-platforms), netwerk- en firewallgegevens, logs van identiteitsproviders en bronnen voor e-mailbeveiliging. Voor omgevingen met gegevensbronnen die buiten de bibliotheek met native connectoren vallen, ondersteunt webhook-opname elke streamingbron rechtstreeks, zodat geen enkel deel van de omgeving onbewaakt blijft omdat er nog geen kant-en-klare connector bestaat. De integratiearchitectuur is ontworpen voor de manier waarop MSP's en IT-teams daadwerkelijk werken: omgevingen die meerdere klanten of bedrijfsonderdelen omvatten, een mix van cloud-native en legacy-infrastructuur en beveiligingsstacks die tools van meerdere leveranciers combineren. Alle geïntegreerde telemetrie wordt gevoerd naar één gecorreleerd dashboard waar de SOC-analisten van Kaseya 24/7 monitoren, triageren en reageren, met geautomatiseerde responsregels die gelijktijdig in de cloud en op eindpunten in werking treden wanneer een bevestigde dreiging wordt geïdentificeerd.