Koneoppimisen hyödyntämismahdollisuudet SIEM-järjestelmissä - Kunnari, Jukka-Pekka (2022)
System Information ja Event Management, eli SIEM-järjestelmistä on tullut viime vuosina organisaatioiden kyberturvallisuusvalvonnan keskeinen ratkaisu. Järjestelmä kerää ja varastoi loki-, eli tapahtumatietoa organisaation tietojärjestelmästä täyttäen paitsi lainsäädännölliset vaatimukset tapahtumatietojen säilyttämisestä, mutta mahdollistaen myös tietojärjestelmän toiminnan valvonnan ja esimerkiksi haitallisen toiminnan havaitsemisen, koska kyberhyökkääjien yleisesti käyttämistä tekniikoista jää jälkiä järjestelmän lokitietoihin. SIEM-Järjestelmien haasteena kuitenkin on, että tapahtumatietoa kertyy nopeasti hyvin suuria määriä, ja esimerkiksi kyberhyökkäyksen valmistelun merkkien havaitseminen suuresta tietomäärästä on haastavaa. Tässä pro gradu -tutkielmassa tarkastellaan mahdollisena ratkaisuna SIEM-järjestelmän toiminnan tehostamiseksi ja SIEM-järjestelmää hyödyntävien henkilöiden työn helpottamiseksi yhden tekoälyn muodon, koneoppimisen, hyödyntämistä osana järjestelmän toimintaa. Tutkimuksen päätutkimuskysymys oli, miten koneoppimista voidaan hyödyntää SIEM-järjestelmissä. Tutkimuksessa selvitettiin tunnettuja, SIEM-järjestelmissä hyödynnettyjä koneoppimisratkaisuja sekä konstruktiiviseen (DSRM; design science research methodology) tutkimusmenetelmään perustuen toteutettiin luonnollisen kielen prosessointia hyödyntävä koneoppimistoiminnallisuus, joka integroitiin Splunk Enterprise -sovellukseen perustuvaan SIEM-järjestelmään analysoimaan valvottavan järjestelmän Linux-palvelinten lokitietoja. Tutkimuksen perusteella koneoppimisen integroimiseen osaksi SIEM-järjestelmää on useita mahdollisia ratkaisuja. Tutkimuksessa toteutetun esimerkkiratkaisun avulla suuri lokimäärä voitiin jakaa niiden tekstisisällön perusteella omiin ryhmiinsä, sekä erottelemaan tapahtumien joukosta muista tapahtumista selvästi poikkeavat tapahtumat reaaliajassa rajaten kyberuhkien havaitsemisen kannalta kiinnostavat tapahtumat pienemmäksi ryhmäksi niiden tarkemman analysoinnin helpottamiseksi. Koneoppimisen integroiminen Splunkiin on melko yksinkertaista, koska tarvittavat lisäosat on saatavilla sovellukseen. Koneoppimismallin kehittäminen ja optimointi vaativat kuitenkin useita toistoja ja tulosten jatkuvaa validointia sopivien parametrien löytämiseksi. Tulokset kuitenkin osoittavat koneoppimisen hyödyntämispotentiaalin SIEM-järjestelmien tiedonlouhinnassa.