ตัวอย่าง: ติดตั้ง ELK Stack ด้วย Docker

# docker-compose.yml
version: '3'
services:
  elasticsearch:
    image: elasticsearch:8.11.0
    environment:
      - discovery.type=single-node
      - xpack.security.enabled=false
    ports:
      - "9200:9200"

  logstash:
    image: logstash:8.11.0
    ports:
      - "5044:5044"
    volumes:
      - ./logstash.conf:/usr/share/logstash/pipeline/logstash.conf

  kibana:
    image: kibana:8.11.0
    ports:
      - "5601:5601"
    environment:
      - ELASTICSEARCH_HOSTS=http://elasticsearch:9200

# logstash.conf ตัวอย่าง รับเอา Syslog
input {
  syslog {
    port => 5514
  }
  beats {
    port => 5044
  }
}

filter {
  if [type] == "syslog" {
    grok {
      match => { "message" => "%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:\[%{POSINT:syslog_pid}\])?: %{GREEDYDATA:syslog_message}" }
    }
  }
}

output {
  elasticsearch {
    hosts => ["elasticsearch:9200"]
    index => "syslog-%{+YYYY.MM.dd}"
  }
}

Correlation Rules ตัวอย่าง

• Brute Force Detection: Login ผิดมากกว่า 10 ครั้งใน 1 นาที จาก IP เดียวกัน
• After Hours Access: Login นอกช่วงเวลาทำงานปกติ
• Privilege Escalation: ผู้ใช้ปกติใช้ sudo หรือเปลี่ยน Permission
• Data Exfiltration: การดาวนโหลดหรือส่งข้อมูลปริมาณมากผิดปกติ
• Lateral Movement: การเชื่อมต่อหลาย System ในเวลาอันสั้น

สรุป

SIEM เป็นเครื่องมือสำคัญสำหรับทีม SOC ในการตรวจจับและตอบสนองต่อภัยคุกคาม องค์กรที่ใช้ Cloud VPS หรือมี Infrastructure หลายระบบควรพิจารณาติดตั้ง SIEM เพื่อควบคุมและตรวจสอบผิดปกติได้อย่างมีประสิทธิภาพ