brrrr. Ik zeg lekker niet waar ik werk maar ik kan je wel vertellen dat ik jarenlang op zoek ben gegaan naar een Siem en het is er niet van gekomen. Die dingen werken op zich prima, zeker correlatie is mooi, maar wel afhankelijk van je architectuur. Uiteindelijk dacht management dat ze niet meer naar logfiles om hoefden te kijken en dat alles mooi uit de siem zou rollen maar dat bleek een misvatting want de siem machine zelf had meer uren aan config en onderhoud nodig als handmatig analyseren van de logs. Daarbij moesten op alle systemen agents geinstalleerd worden wat op veel verzet stuitte en wij hadden zo het idee dat het aannemelijk was dat bij toekomstige ontwikkelingen de siem wel eens "vergeten" zou kunnen worden (hoe meer eisen hoe minder functionaliteit). Uiteindelijk zijn we maar gewoon met een light controle programma aan de slag gegaan. Het mooiste is dat inzicht bij de security collega's veel groter is nu en er veel meer onderzocht wordt als dat je alles aan een siem laat. Een siem kan echt ...