SIEM
Security Information and Event Management. Et værktøj, der samler logs fra mange systemer ét sted og leder efter mønstre, der tyder på angreb.
Kort svar
Et SIEM (Security Information and Event Management) er et værktøj, der samler logs – registreringer af hændelser – fra mange systemer ét sted, fx firewall, servere, computere og Microsoft 365. SIEM’et ensretter data og leder efter mønstre på tværs, som ikke kan ses i de enkelte systemer, og laver alarmer, når noget ligner et angreb. Et SIEM er et værktøj; det er typisk en SOC, der bruger det og reagerer.
- IndsamleLogs fra firewall, servere, computere, Entra ID og Microsoft 365.
- EnsretteData fra forskellige systemer bringes på samme form og tidsstempel.
- SammenholdeRegler og analyser kobler hændelser, der hver for sig ser harmløse ud.
- AlarmereMistænkelige mønstre bliver til en alarm, som en SOC vurderer.
Hvorfor samle logs ét sted?
Næsten alle systemer skriver logs: hvem der loggede ind, hvornår en regel blev ændret, hvilken trafik firewallen blokerede. Hver log for sig siger sjældent meget. Styrken ved et SIEM er at sætte dem sammen – Microsoft beskriver det som at forbinde signaler, der hver for sig ser uskyldige ud, til én alarm.
Styrelsen for Samfundssikkerhed (tidligere CFCS) anbefaler i vejledningen om logning, at logs samles ét centralt sted, at de har synkroniseret tid, og at gennemgangen er værktøjsunderstøttet – fx med et SIEM-system. Vejledningen nævner også, at gennemgangen kan aftales med en ekstern leverandør.
Eksempel: Et SIEM opdager, at den samme konto har forsøgt at logge på fra to lande med få minutters mellemrum, og at der kort efter er oprettet en ny videresendelsesregel i mailen. Hver hændelse kunne være harmløs – sammen ligner de en overtaget konto.
Logs gemmes også til efterforskning
Et angreb bliver ikke altid opdaget, mens det står på. Der kan gå uger eller måneder. Derfor er logs også vigtige bagefter, når man skal finde ud af, hvordan angriberen kom ind, og hvad der blev berørt. Styrelsen for Samfundssikkerhed anbefaler, at logs opbevares i mindst 13 måneder, medmindre lovgivning kræver noget andet, og at de beskyttes mod at blive ændret eller slettet.
Vær opmærksom: Logs kan indeholde personoplysninger. Hvor længe de må gemmes, og hvem der må se dem, skal også vurderes i forhold til GDPR.
SIEM, EDR og SOC – forskellen
EDR ser dybt ind i den enkelte computer eller server. Et SIEM ser bredt på tværs af hele IT-miljøet, men mindre dybt på hver enhed. En SOC er de mennesker, der bruger begge dele. Mange SIEM-løsninger kan også automatisere svar via såkaldt SOAR (Security Orchestration, Automation and Response), fx åbne en sag eller isolere en enhed efter faste regler.
Muligheder og begrænsninger
Et SIEM er kun så godt som de data, det får, og de regler, det kører med. Hvis vigtige systemer ikke sender logs, er der blinde vinkler. Og uden nogen til at vurdere alarmerne bliver et SIEM hurtigt en støjende database.
Microsoft Sentinel er Microsofts cloudbaserede SIEM. Microsoft oplyser, at Sentinel efter 31. marts 2027 kun understøttes i Microsoft Defender-portalen og ikke længere i Azure-portalen.
Spørgsmål I kan stille
- Hvilke af vores systemer logger i dag, og hvor ender loggene?
- Hvor længe gemmes logs, og kan en angriber slette dem?
- Er der nogen, der kigger på loggene – løbende eller kun efter en hændelse?
- Er logningen afstemt med vores GDPR-regler?
Hvornår giver det mening at få hjælp?
Få hjælp, hvis I er usikre på, om jeres logs overhovedet bliver gemt, eller hvis I skal leve op til krav om logning, fx fra kunder, forsikring eller NIS2. Furesø Data kan gennemgå, hvad der logges, og hvad der mangler.
Spørgsmål og svar
Har en lille virksomhed brug for et SIEM?
Sjældent som et selvstændigt værktøj, I selv driver. Det er typisk en del af en SOC-tjeneste, hvor leverandøren står for opsamling og analyse. Det vigtige for en lille virksomhed er, at de væsentlige logs findes, gemmes længe nok og bliver brugt.
Hvad er forskellen på SIEM og SOC?
SIEM er værktøjet, der samler og analyserer logs. SOC er de mennesker, der bruger det og reagerer på alarmerne.
Forbehold: Teksten er en generel forklaring. Krav til logning og opbevaringstid kan følge af lovgivning (fx GDPR og NIS2) og af aftaler; tjek de regler, der gælder for jer.
Kilder (tjekket 31. oktober 2026)