Ao longo dos anos tem-se observado um aumento progressivo na frequência e sofisticação dos ataques informáticos. Esta tendência obriga ao melhoramento constante do software de apoio às equipas de segurança e administração de sistemas. Os sistemas de gestão e correlação de eventos de segurança (em inglês, Security Information and Event Managing - SIEM) fornecem a análise em tempo real de alertas de segurança gerados por aplicações e hardware de rede. O princípio base de todos os sistemas SIEM é agregar dados relevantes (logs) provenientes de múltiplas fontes de forma centralizada, identificar desvios da norma e tomar as ações necessárias. Espera-se com este trabalho de dissertação implementar um SIEM eficaz, on-premises (i.e, que corra localmente usando os recursos computacionais da organização). A solução deverá permitir efetuar correlação de eventos, alertas e gestão de incidentes.

Over time, there has been a noticeable increase in the frequency and sophistication of cyber-attacks. This trend forces the constant improvement of software that supports system administration and security teams. Security Information and Event Managing systems provide a real-time analysis of security alerts gen erated by applications and network hardware. The basic principle of all SIEMs is to aggregate relevant data (i.e, logs) originated from multiple sources in a centralized basis, identify deviations from the norm and take the appropriate actions. The aim of this dissertation is to implement an effective SIEM solution that is on-premises (i.e, that runs locally in the organization’s own computing resources). The solution should be able to perform incident management, event correlation and generate alerts.

Dissertação de mestrado em Engenharia Informática