SIEM

Wat is een SIEM?

Een SIEM (Security Information and Event Management) is een platform dat beveiligingsrelevante logs en gebeurtenissen uit de hele organisatie centraal verzamelt, normaliseert, correleert en analyseert, zodat cyberdreigingen worden gedetecteerd, onderzocht en gerapporteerd. Het biedt bijna real-time inzicht in wat er gebeurt op netwerk-, systeem- en applicatieniveau. Daarmee is een SIEM het centrale detectie- en onderzoeksinstrument van een SOC en een vaste laag in Defense in Depth en incidentrespons. In industriële omgevingen wordt het steeds vaker ingezet om ook OT-netwerken te bewaken.

🧠 Wat doet een SIEM?

De term SIEM werd in 2005 bedacht door de Gartner-analisten Mark Nicolett en Amrit Williams. Zij voegden twee bestaande productcategorieën samen:

• SIM (Security Information Management) - langdurig verzamelen, bewaren en analyseren van logbestanden, vooral voor rapportage en forensisch onderzoek
• SEM (Security Event Management) - real-time monitoring, correlatie en alerting op verdachte gebeurtenissen

Een modern SIEM combineert beide en voegt er dashboards, threat intelligence en vaak gedragsanalyse aan toe. De kernvraag die het beantwoordt: welke losse gebeurtenissen vormen samen een aanval?

🛠️ Welke functies heeft een SIEM?

Een SIEM herkent zelf geen kwetsbaarheden. Het kan wel CVE-gegevens uit een kwetsbaarheidsscanner of assetinventaris koppelen aan meldingen, en indicators of compromise uit threat intelligence matchen met gelogde IP-adressen, domeinen en hashes.

🏭 Hoe wordt een SIEM in OT-omgevingen gebruikt?

SIEM-systemen komen uit de IT, maar worden steeds vaker ingezet in OT. Dat vraagt om een andere aanpak, omdat veel OT-apparatuur nauwelijks logt. Een PLC stuurt zelden syslog, en klassieke SCADA-componenten draaien vaak op oudere Windows-versies. In de praktijk komen OT-gegevens daarom vooral uit deze bronnen:

Omdat PLC’s zelf weinig vertellen, is passieve monitoring met een OT-NDR-sensor meestal de belangrijkste bron. Zo’n sensor ziet bijvoorbeeld een program download of een firmware-update en stuurt dat als melding naar het SIEM. Door SIEM-data te koppelen aan het Zone and Conduits-model en de segmentatie van het netwerk ontstaat contextbewuste detectie. Een RDP-verbinding van kantoor naar een controller-zone is dan direct verdacht.

Typische OT-uitdagingen zijn:

• Beschikbaarheid gaat voor - agents op HMI’s en controllers zijn vaak niet toegestaan of niet gecertificeerd door de leverancier.
• Eenrichtingsverkeer - logs gaan van OT naar IT, soms via een datadiode, nooit andersom.
• Tijdsynchronisatie - zonder gelijklopende klokken via NTP is correlatie onbetrouwbaar.
• Weinig OT-kennis in het SOC - een IT-analist herkent een gewijzigd setpoint niet als aanval. Een OT SOC of gezamenlijke playbooks lossen dat op.
• Stille aanvallers - technieken als Living Off The Land, gebruikt door Volt Typhoon, vallen alleen op door afwijkingen in normaal beheergedrag.

🔄 Wat is het verschil tussen SIEM, SOAR, XDR en NDR?

Veel leveranciers bundelen deze functies inmiddels tot één platform. Het onderscheid blijft wel nuttig bij een keuze: een SIEM verwerkt data van systemen van alle leveranciers en bewaart logs lang, terwijl XDR vooral sterk is in snelle detectie binnen het eigen ecosysteem.

🔐 Welke eisen stellen NIS2 en normen aan logging?

• NIS2 en de Cyberbeveiligingswet - sinds 15 augustus 2026 moeten Nederlandse essentiële en belangrijke entiteiten een significant incident melden: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag uiterlijk een maand na de incidentmelding. Zonder centrale logging is die eerste beoordeling binnen 24 uur nauwelijks haalbaar.
• Uitvoeringsverordening (EU) 2024/2690 - eist voor onder meer cloud-, datacenter- en managed service providers procedures voor monitoring en logging, logs van authenticatie, geprivilegieerde toegang en netwerkverkeer, gesynchroniseerde klokken en redundante logsystemen. Een minimale bewaartermijn noemt de verordening niet.
• IEC 62443-3-3 - SR 2.8 (auditable events), SR 2.9 (opslagcapaciteit), SR 2.11 (tijdstempels), SR 6.1 (toegankelijkheid van auditlogs) en SR 6.2 (continue monitoring).
• ISO 27001:2022 - Annex A-maatregelen 8.15 (logging), 8.16 (monitoringactiviteiten) en 8.17 (kloksynchronisatie). De BIO bouwt hierop voort.
• PCI DSS 4.0 - eis 10.5.1 vraagt minimaal twaalf maanden loghistorie, waarvan de laatste drie maanden direct beschikbaar. De norm geldt alleen voor betaalkaartgegevens, maar deze verhouding wordt ook daarbuiten vaak als richtwaarde gebruikt.

🧭 Hoe richt u een SIEM in voor IT en OT?

1. Begin bij risico’s en use cases - kies tien tot twintig scenario’s, bijvoorbeeld onbekende remote access, een nieuwe beheerder of een PLC-download buiten onderhoud. Koppel ze aan MITRE ATT&CK for ICS.
2. Kies logbronnen per use case - geef voorrang aan firewalls, Active Directory, jump servers, engineering stations en OT-NDR-meldingen.
3. Regel tijd en transport - synchroniseer alle klokken en stuur OT-logs via een collector in de DMZ naar het SIEM.
4. Bepaal retentie - bijvoorbeeld drie maanden direct doorzoekbaar en twaalf maanden of langer in goedkopere opslag. Leg de termijn vast in beleid en houd rekening met de AVG.
5. Stem detectieregels af - begin met een leerperiode en verminder valse meldingen voordat ze het SOC bereiken.
6. Verbind met respons - koppel meldingen aan het Incident Response Plan, aan SOAR-playbooks en aan de meldketen richting CSIRT.
7. Toets regelmatig - gebruik threat hunting en oefeningen om te controleren of het SIEM echte aanvallen ziet.

Kosten en licenties. SIEM’s worden meestal geprijsd per hoeveelheid data (GB per dag), per events per seconde (EPS) of per asset of gebruiker. Logvolume is daarom de grootste kostendrijver. Filter ruis, zoals uitgebreide debuglogs, al vóór opname in het SIEM. Bekende oplossingen zijn Microsoft Sentinel, Splunk (sinds 2024 onderdeel van Cisco), Elastic Security, IBM QRadar (de SaaS-versie ging in 2024 naar Palo Alto Networks), OpenText ArcSight, Google Security Operations en het open-source Wazuh. Het vroeger populaire open-source OSSIM wordt niet meer onderhouden.

❓ Veelgestelde vragen

Waar staat SIEM voor?

SIEM staat voor Security Information and Event Management. De term werd in 2005 door Gartner geïntroduceerd en combineert Security Information Management (logbeheer) met Security Event Management (real-time detectie). Een SIEM is daarmee zowel logarchief als detectieplatform.

Heeft een OT-omgeving een eigen SIEM nodig?

Een OT-omgeving heeft meestal geen apart SIEM nodig, maar wel eigen logbronnen, use cases en detectieregels binnen het bestaande SIEM. Veel organisaties sturen OT-meldingen via een collector in de DMZ naar het centrale SIEM en laten een OT-specialist meekijken. Bij strikte scheiding kiezen sommige bedrijven wel voor een aparte SIEM-instantie in het OT-domein.

Hoe lang moet een SIEM logs bewaren?

Een SIEM moet logs bewaren zolang uw beleid en de toepasselijke regelgeving dat vereisen. NIS2 en de bijbehorende uitvoeringsverordening schrijven geen vaste termijn voor, maar wel een vooraf bepaalde en beschermde bewaarperiode. In de praktijk is twaalf maanden gangbaar, met de laatste drie maanden direct doorzoekbaar.

Is een SIEM verplicht onder NIS2?

NIS2 verplicht geen specifiek SIEM-product, maar wel incidentafhandeling, monitoring en melding binnen 24 uur, 72 uur en een maand. Voor de meeste middelgrote en grote organisaties is een SIEM, eigen of via een managed SOC, de praktische manier om aan die eisen te voldoen. Kleinere organisaties kunnen soms volstaan met de logging van een XDR- of MDR-dienst.

Kan een SIEM aanvallen op een PLC detecteren?

Een SIEM kan aanvallen op een PLC detecteren als het de juiste gegevens ontvangt, meestal van een OT-NDR-sensor die netwerkverkeer naar de PLC analyseert. Combineert het SIEM die melding met inlogdata van een engineering station of jump server, dan ontstaat een volledig beeld. PLC’s zelf leveren vaak te weinig logs voor directe detectie.

Wat is het verschil tussen een SIEM en een SOC?

Een SIEM is technologie die logs verzamelt, correleert en meldingen genereert. Een SOC is het team met processen dat die meldingen beoordeelt, onderzoekt en opvolgt. Een SIEM zonder SOC levert vooral ongelezen meldingen op.

📌 Samengevat

Een SIEM verzamelt en correleert beveiligingslogs uit IT en OT tot één centraal beeld, zodat dreigingen vroeg worden ontdekt, incidenten onderzocht kunnen worden en u binnen de NIS2-meldtermijnen kunt handelen. In OT werkt een SIEM het best samen met OT-NDR-sensoren, gesynchroniseerde klokken en duidelijke use cases. Het ondersteunt kaders als ISO 27001, BIO, IEC 62443 en CSIR.