Invasão descoberta tarde
Configuração alterada que ninguém sabe quando nem por quem, e o registro do roteador já foi sobrescrito.
Segurança e DDoS · Provedores
Implantação de SIEM para provedores
Os registros de roteadores, OLTs, servidores e VPN num lugar só, guardados pelo tempo certo e com alertas que a equipe realmente lê.
- Todas as fontes num painel só
- Alertas ajustados para não virar ruído
- Disco dimensionado pelo tempo de guarda
Implantação de SIEM é juntar num só sistema os registros de roteadores, OLTs, servidores, VPN e sistema de gestão do provedor, com alertas para o que foge do normal. É para o provedor com registros espalhados em cada equipamento, apagados em poucos dias, que descobre uma invasão semanas depois ou não consegue reconstruir o que aconteceu. O resultado é uma investigação que leva minutos, alertas que chegam a quem pode agir e a guarda pelo tempo que a sua política define.
O que é SIEM
O SIEM recebe os registros de todos os equipamentos, organiza, guarda e avisa quando aparece um padrão suspeito. É a memória e o alarme da segurança da rede.
Sem SIEM, cada roteador guarda o próprio registro em memória, e um reinício apaga tudo. Depois de um ataque DDoS ou de uma invasão, a equipe tenta juntar pedaços espalhados, quando eles ainda existem.
O SIEM não substitui a análise de fluxos. O NetFlow mostra o tráfego; o SIEM mostra quem entrou, o que mudou e o que cada equipamento reclamou, e cruza as duas coisas para dizer se o pico de tráfego veio junto de um login estranho.
Registros do firewall, da VPN e do servidor de entrada contam quem tentou entrar e de onde. Juntos com os comandos registrados pela autenticação central, permitem responder em minutos quem mudou a configuração da borda às três da manhã.
Coleta
Envio por syslog ou agente de cada roteador, OLT, servidor e sistema, com relógio sincronizado por NTP. Sem horário certo, nenhuma investigação fecha.
Guarda
Armazenamento dimensionado pelo volume diário e pelo tempo de guarda da política, com cópia fora do servidor principal e acesso restrito.
Alertas
Regras que avisam sobre senhas erradas em série, login fora de hora, mudança de configuração sem janela e serviço desligado. Poucas, testadas e com dono.
Painéis e investigação
Telas para a equipe ver o dia da rede e buscar por IP, usuário ou equipamento. Uma pergunta, uma busca, uma resposta.
Quando você precisa de implantação de SIEM
Seis sinais mostram que os registros não estão servindo para nada hoje. Um só já justifica centralizar.
Investigação que leva dias
Para responder a uma reclamação, alguém entra em dez equipamentos e procura à mão em cada registro.
Tentativas de senha sem aviso
Milhares de logins errados por dia e ninguém fica sabendo até alguém acertar.
Fornecedores e ex-funcionários
Não há como provar quem acessou o quê, nem se um acesso antigo ainda é usado.
Exigência de guarda de registros
Regulamento, política interna ou cliente corporativo pedem registros guardados e consultáveis. [CONFIRMAR na norma]
Equipamento caiu sem explicação
A OLT reiniciou de madrugada e não há registro do que veio antes, porque ele ficava só na memória.
Como funciona a implantação de SIEM
São cinco etapas, e os alertas só ficam definitivos depois de semanas de ajuste. A rede não para em nenhum momento.
Levantamento
Fontes de registro, volume estimado por dia, tempo de guarda pedido e quem vai olhar os alertas.
Prazo: [PREENCHER]
Escolha e dimensionamento
Ferramenta aberta ou comercial, servidor próprio ou nuvem, e disco calculado pelo volume e pela guarda.
Prazo: [PREENCHER]
Coleta das fontes
Envio configurado equipamento por equipamento, pela rede de gerência, com NTP conferido em cada um.
Prazo: [PREENCHER]
Alertas e painéis
Regras iniciais, painéis da equipe e destino de cada alerta, testados com eventos de teste.
Prazo: [PREENCHER]
Ajuste e treinamento
Semanas de observação para cortar alerta inútil, mais treino da equipe numa investigação simulada.
Período de ajuste: [PREENCHER]
O que está incluído na implantação de SIEM
A implantação entrega o SIEM recebendo as fontes, guardando pelo tempo certo e alertando a pessoa certa. O que fica de fora tem página própria.
Incluído
- Escolha da ferramenta pelo volume, pelo orçamento e pela equipe
- Servidor dimensionado para o tempo de guarda combinado
- Envio de registros de roteadores, OLTs, servidores, VPN e sistemas
- Relógio sincronizado em todas as fontes
- Alertas iniciais e ajuste depois das primeiras semanas
- Painéis para a equipe, com acesso restrito e registrado
- Cópia dos registros fora do servidor principal
- Treinamento com uma investigação simulada
Não incluído
- Licença de ferramenta comercial ou servidor (a Táquion Tech não vende equipamento)
- Coleta e análise de fluxos de tráfego, que é a análise de fluxos com NetFlow
- Monitoramento de disponibilidade e desempenho, feito no monitoramento de rede
- Guarda legal dos registros de conexão, tratada na guarda de registros de conexão
- Separar a rede de gerência por onde os registros trafegam, que é a rede de gerência isolada
Quanto custa a implantação de SIEM
O preço depende de quantas fontes entram e de quanto tempo os registros ficam guardados. O valor exato sai por escrito, depois do levantamento.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Número de fontes | Cada equipamento ou sistema precisa de envio e de leitura própria | Borda e VPN, ou também OLTs, servidores e gestão |
| Tempo de guarda | Mais meses pedem mais disco e cópia maior | Noventa dias ou um ano consultável |
| Ferramenta | Código aberto não tem licença; comercial cobra por volume | Wazuh ou Graylog contra licença por GB ao dia |
| Onde roda | Servidor próprio custa uma vez; nuvem cobra todo mês | Máquina virtual no POP ou serviço em nuvem |
| Alertas sob medida | Regras específicas do provedor levam teste e ajuste | Alerta de mudança na sessão BGP ou no perfil de OLT |
Faixa de preço da implantação para um provedor com até [PREENCHER] fontes: [PREENCHER faixa aprovada pela Táquion Tech]. Licença e servidor ficam por sua conta e entram no cálculo à parte, para você comparar as opções.
O que conferir antes de contratar implantação de SIEM
Antes de assinar, confira os erros que transformam o SIEM em disco cheio, as opções de ferramenta e as referências de guarda. Use os pontos abaixo com qualquer empresa de implantação de SIEM.
Erros comuns ao contratar
Quatro falhas que deixam o SIEM ligado e inútil. Pergunte ao fornecedor como ele evita cada uma.
Alerta demais
Centenas de avisos por dia fazem a equipe silenciar o canal na primeira semana. Comece com poucas regras e cada uma com dono.
Relógios desencontrados
Equipamentos com horários diferentes tornam impossível montar a sequência de um incidente. NTP em todas as fontes vem antes de qualquer painel.
Disco que acaba sem aviso
Sem cálculo de volume, o servidor enche e para de gravar justo no mês do incidente. Peça a conta de volume diário e de guarda.
SIEM aberto para a rede
O servidor guarda configurações, usuários e caminhos da rede inteira. Se ele fica acessível, vira o alvo mais valioso para um invasor.
Código aberto, comercial ou serviço
A ferramenta pesa menos que a configuração, mas muda o custo mensal. Estas são as três opções mais comuns para provedor regional.
| Opção | Custo de licença | Esforço da equipe |
|---|---|---|
| Código aberto em servidor próprio | Nenhum | Maior: atualizar e manter o servidor |
| Comercial em servidor próprio | Por volume ou por fonte | Médio |
| SIEM como serviço em nuvem | Mensal, por volume | Menor no servidor, maior na conta |
Código aberto
Quando escolher
Equipe com alguém que mantém servidor Linux e orçamento curto para licença.
Cuidado
Sem dono para atualizar, o próprio SIEM vira equipamento desatualizado e exposto.
Serviço em nuvem
Quando escolher
Equipe pequena sem tempo para manter servidor e volume de registros previsível.
Cuidado
A conta cresce com o volume; filtre na origem o que não serve para investigação.
Normas e boas práticas
Referências públicas sobre registros e guarda. Peça ao fornecedor que diga quais aplica.
RFC 5424 (syslog)
Define o formato padrão de mensagens de registro, com data, severidade e origem, usado pela maioria dos equipamentos de rede [CONFIRMAR na norma].
NIST SP 800-92
Guia público de gestão de registros de segurança: o que coletar, como guardar e como proteger [CONFIRMAR na norma].
Marco Civil da Internet
Fixa a guarda dos registros de conexão pelo provedor; o SIEM não substitui essa guarda, que tem regras próprias [CONFIRMAR na norma].
R-Ciber e LGPD
O regulamento da Anatel trata de registros e monitoramento, e a LGPD exige proteger os dados pessoais que aparecem nos registros [CONFIRMAR na norma].
Por que escolher a Táquion Tech para implantar o seu SIEM
Porque o SIEM é montado por quem sabe o que um roteador e uma OLT registram e quais eventos importam num provedor. Seis compromissos que valem para toda implantação.
Especialista em rede de provedor
Os alertas falam de sessão BGP, perfil de OLT e concentrador, não só de servidor Windows.
[PREENCHER: anos de experiência com redes de provedor]
Disco calculado antes
Volume diário medido nas fontes reais e conta de guarda entregue por escrito.
Cálculo de armazenamento na proposta
Alertas com dono
Cada alerta tem destino, motivo e o que fazer quando chega. Os inúteis saem no período de ajuste.
Período de ajuste incluído na implantação
Não vendemos licença
A ferramenta é escolhida pelo seu volume e pela sua equipe, com opção de código aberto sempre na mesa.
Nenhuma marca indicada por comissão
Documentação que fica
Fontes ligadas, regras de alerta, cálculo de disco e procedimento de investigação entregues à equipe.
Entregue no fim de toda implantação
Equipe treinada na prática
O treino é uma investigação simulada com os registros reais da sua rede, não uma apresentação.
Treinamento incluído na entrega
Onde a Táquion Tech implanta SIEM
A implantação de SIEM é remota e atende provedores de todo o Brasil. A visita presencial fica para o litoral de Santa Catarina, quando o servidor é instalado no POP do provedor.
Remoto para todo o Brasil
Servidor, coleta das fontes, alertas e treinamento por acesso remoto seguro, de qualquer estado.
Presencial no litoral de Santa Catarina
Para instalar o servidor no rack do POP e treinar a equipe no escritório. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre SIEM para provedor
As perguntas que os provedores mais fazem antes de centralizar os registros. Se a sua não estiver aqui, pergunte no WhatsApp.
O que é SIEM?
É o sistema que reúne os registros de segurança de todos os equipamentos, guarda e gera alertas sobre eventos suspeitos. A sigla vem do inglês para gestão de informações e eventos de segurança.
Provedor pequeno precisa de SIEM?
Precisa de registros centralizados e de alerta para o básico. Um SIEM de código aberto, bem configurado, atende sem licença e cabe numa máquina virtual.
Quanto custa a implantação de SIEM?
O preço da implantação de SIEM muda com o número de fontes, o tempo de guarda e a ferramenta. A faixa é [PREENCHER], e licença e servidor entram à parte.
Quanto tempo leva a implantação?
Depende do número de fontes e do período de ajuste dos alertas. O prazo típico é [PREENCHER], e o do seu caso vai escrito na proposta.
Por quanto tempo guardar os registros?
Depende da política do provedor e das exigências legais [CONFIRMAR na norma]. Para investigar incidentes, alguns meses consultáveis é o mínimo prático.
O SIEM substitui a guarda de registros de conexão?
Não. Os registros de conexão do Marco Civil têm regras próprias; veja a guarda de registros de conexão.
Qual a diferença entre SIEM e NetFlow?
O NetFlow mostra o tráfego que passa pela borda. O SIEM mostra acessos, mudanças e erros dos equipamentos; a análise de fluxos com NetFlow completa o quadro.
Qual a diferença entre SIEM e Zabbix?
O Zabbix vigia se o equipamento está de pé e como está o desempenho. O SIEM vigia quem fez o quê e se isso foi normal; os dois se completam.
Quem olha os alertas depois da implantação?
A sua equipe, com o destino de cada alerta definido. Se não houver quem olhe fora do horário, o alerta pode ir para um NOC terceirizado [CONFIRMAR oferta].
O que preciso separar para começar?
Lista de equipamentos e sistemas, onde os registros ficam hoje e o tempo de guarda que a sua política pede. Um usuário de leitura basta para medir o volume.
Serviços relacionados à implantação de SIEM
Três serviços que alimentam o SIEM ou dependem dele. Juntos, dão visibilidade completa da rede.
-
Implantação de análise de fluxos com NetFlow
Fluxos da borda coletados para achar o alvo e o tipo de um ataque em minutos.
Ver a análise de fluxos com NetFlow -
Implantação de rede de gerência isolada
Rede separada por onde os registros trafegam, longe dos assinantes.
Ver a implantação de rede de gerência isolada -
Monitoramento de rede
Disponibilidade e desempenho de cada equipamento acompanhados, com alerta de queda.
Ver o monitoramento de rede
Leia antes de contratar
Três guias sobre as fontes que o SIEM costuma receber.
- Implantação de TACACS: guia prático para provedores
Como registrar os comandos de cada pessoa nos equipamentos.
- Implantação de sFlow: guia prático para provedores
Como coletar amostras de tráfego da borda para análise.
- Provedor invadido: causas, diagnóstico e quando chamar um Especialista
Quais registros guardar quando a rede é invadida.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de implantação de SIEM
Diga quantas fontes você tem e onde os registros ficam hoje. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
