Microsoft Sentinel: Pilvipohjaisen SIEM-ratkaisun käyttöönotto ja parhaat käytännöt

Abstract

Organisaatioiden omaksuessa uusia tietoteknisiä ratkaisuja, kasvaa julkipilvipalvelujen käytön määrä vauhdikkaasti. Samalla tarve kokonaisvaltaiselle tietoturvahäiriöhavainnoinnille kasvaa, niin paikallisissa kuin pilviympäristöissä. SIEM-tuotteet ovat yleistyvä ratkaisu vastaamaan lokien hallinnan sekä poikkeavien tapahtumien havainnointiin hybridiympäristöissä.

Opinnäytetyön tarkoituksena oli selvittää toiminnallisen tutkimuksen avulla, miten yritys ottaa käyttöön pilvipohjaisen SIEM-ratkaisun parhaita käytäntöjä noudattaen. Työssä käytettiin toimintatutkimusta, jossa tutkija osallistuu tutkittavan kohteen eli SIEM-ratkaisun käyttöönottoon. Tutkimuksessa oli olennaista, että tutkija työskentelee itse yrityksessä ja tuntee tutkimuskohteen.

Toimeksianto keskittyi Microsoft Sentinel SIEM-tuotteen tutkimiseen ja käyttöönoton kuvaamiseen. Tutkimus toteutettiin keskittyen Microsoft Sentinelin ydintoiminnallisuuksiin, sisältäen tietoturvakriittisten lokien hallinnan, tietoturvahäiriöiden havainnoinnin SIEM-ratkaisulla sekä automaation hyödyntämisen. Toimeksiantoon tutkittiin myös Microsoft Sentinel -ratkaisun parhaita käytäntöjä kustannusten hallinnan, muiden tietoturvatuotteiden integraation sekä datan visualisoinnin osalta.

Toimeksiannon tuloksena tuotettiin parhaiden käytäntöjen kuvaus Microsoft Sentinelin käyttöönottoon vaikuttavista osa-alueista Sulava Oy:n käytettäväksi. Toimeksiannon dokumentoituja kuvauksia voidaan käyttää niin uusissa käyttöönotoissa kuin jo käyttöönotettujen ympäristöjen jatkokehityksessä.