Een van de grootste risico's bij de implementatie van een SIEM-systeem is het aantal waarschuwingen.
Een verkeerd geconfigureerd SIEM-systeem kan de volgende problemen veroorzaken:
- honderden meldingen;
- duizenden meldingen;
- of zelfs meer, afhankelijk van de grootte van de omgeving.
Een beveiligingsteam dat te veel meldingen ontvangt, krijgt uiteindelijk te maken met een probleem dat zich voordoet als volgt:
Vermoeidheidsalarm.
Het werkelijke doel is daarom niet:
Genereer zoveel mogelijk meldingen
Het is eerder:
Genereer de meest relevante en bruikbare waarschuwingen
Een goede SIEM-architectuur moet daarom het volgende omvatten:
- prioritering;
- de cruciale rol van de activa;
- het cruciale belang van gebruikers;
- de context;
- de drempels;
- de uitzonderingen;
- geluidsdemping;
- de correlatie;
- verrijking.