De sterke kanten van een SIEM is de reikwijdte van het product en de mogelijkheid om verschillende gegevensbronnen met elkaar te correleren. Om te zien hoe hackers binnendringen kunnen verschillende bronnen wordengebruikt. Als verschillende bronnen elkaar bevestigen en op elkaar aansluiten, wordt het steeds duidelijker hoe de aanval is opgebouwd en welke systemen mogelijk gecompromitteerd zijn.
Indien u de data die binnenkomt een wat langere tijd bewaart, dan kunnenaanvallen die een tijd geleden begonnen zijn ook nog opgemerkt worden. Als u bijvoorbeeld een account heeft op de MISP server van Z-CERT en er komen IOC’s binnen waarvan u kunt zien in uw SIEM dat zij 2 maanden geleden in uw omgeving waargenomen zijn. Dan heeft u wellicht met terugwerkende kracht een aanvaller in uw netwerk gedetecteerd die mogelijk nog actief is.
Een SIEM zelf, kan out of the box vaak niets of niet veel. Om aanvalspatronen te kunnen detecteren moeten er in een SIEM usecases gebouwd worden. Dit is zeer gespecialiseerd werk en het blijkt lastig te zijn usecases te bouwen die niet veel false positives opleveren. Dit ismede zo lastig omdat een SIEM ook zeer veel niet-relevante data verzamelt. Ook is het tunen en kalibreren van een SIEM-oplossing een “ongoing” proces omdat de IT-infrastructuur en de methodieken die hackers gebruiken ook steeds veranderen. Bepaalde wijzigingen in de infrastructuur kunnen zorgen voor een hoos aan false positives. Ook kan een SIEM te ‘strak’ zijn afgesteld en hierdoor legitieme alerts gemist worden.
Een ander nadeel is dat bij de alerts die wel relevant zijn, het kan zijn dat er teveel context ontbreekt. Als een verdachte activiteit wordt geconstateerd in een bepaald deel van het netwerk waarbij bijvoorbeeld een verdachte connectie op een workstation wordt geconstateerd, zou je eigenlijk een doorsnede willen hebben van wat er op dat moment aan processen draaiden op een workstation, of de registry activiteit die zich afspeelde. Een SIEM kan wel de logging gebruiken van het endpoint, maar niet alle relevante informatie wordt gelogd in Operating systems en applicaties. Dit kan binnen Windows verbeterd worden met de eerder genoemde gratis tool Sysmon van Microsoft, de logging van powershell en het activeren van auditpolicies.