SIEM (Security Information and Event Management) ist eine Lösung für die Überwachung, Erkennung und Untersuchung der Cybersicherheit. SIEM sammelt, verwaltet und analysiert Ereignisprotokolle, die von Netzwerken und Systemen generiert werden. Dadurch trägt es zur frühzeitigen Erkennung von Sicherheitsvorfällen und zur schnellen Reaktion bei.
SIEM wird in erster Linie in einem Security Operations Center (SOC) eingesetzt, einer Organisation, die die Sicherheit innerhalb eines Unternehmens überwacht und das Auftreten von Cyberangriffen und -vorfällen erkennt. SIEM ist ein wichtiges Tool für Sicherheitsfachleute, das effiziente Sicherheitsabläufe auf folgende Weise unterstützt:
Alarmbenachrichtigung durch integrierte Protokollverwaltung: SIEMs verwalten verschiedene Protokolle auf integrierte Weise. Sie erkennen Anzeichen von abnormalen Aktivitäten oder Angriffen und alarmieren das Sicherheitspersonal. SIEM erkennt beispielsweise nicht nur Malware und andere nicht autorisierte Verhaltensweisen. Es alarmiert Sie auch, wenn verdächtige Ereignisse erkannt werden. Dazu gehören zum Beispiel mehrere Anmeldeversuche bei Servern, auf denen wichtige Informationen gespeichert sind, oder die Nutzung von Cloud-Diensten, die nicht von Ihrem Unternehmen autorisiert wurden.
Untersuchung von und Reaktion auf Vorfälle: Auf der Grundlage von nicht autorisierten oder verdächtigen Ereignissen untersucht SIEM, ob es sich um einen Cyberangriff handelt oder nicht (normales Verhalten, Zugriffsfehler usw.). Handelt es sich erkennbar um einen Cyberangriff, können die Route und der Umfang des Angriffs zurückverfolgt werden – auch, ob es sich um einen externen oder internen Cyberangriff handelt. Daraus lassen sich Anhaltspunkte für die Reaktion auf den Vorfall ableiten. Folgende Maßnahmen werden ergriffen:
Reporting: Sie erhalten mittel- bis langfristig ein Bild vom Stand der Verstöße gegen die Sicherheitsrichtlinien Ihres Unternehmens und von den Auswirkungen von Cyberangriffen und können daraus einen Bericht erstellen. Visualisiert wird, welcher Art von Cyberangriffen das Unternehmen über einen Zeitraum von einem Monat, drei Monaten, sechs Monaten, einem Jahr usw. ausgesetzt war. Daraufhin kann das Unternehmen überlegen, welche Sicherheitsmaßnahmen es als nächste ergreifen sollte.
Die wichtigsten Anwendungsfälle von SIEM sind oben aufgeführt. Der größte Vorteil von SIEM für das Sicherheitspersonal ist die Möglichkeit, Ereignisse und Protokollinformationen aus mehreren verschiedenen Produkten schnell zu visualisieren und mit der nächsten Aktion zu verknüpfen.
SIEM schafft für SOCs und andere Organisationen Vorteile in Bezug auf verbesserte Sicherheit und betriebliche Effizienz. Gleichzeitig ist es mit den folgenden Herausforderungen verknüpft.
Komplexe Implementierung und Konfiguration: SIEMs sind komplexe Systeme, deren Implementierung und Konfiguration Zeit und Fachwissen erfordert. Sicherheitsfachleute müssen ständig daran arbeiten, Geräteprotokolle und Datenquellen zu integrieren, Regeln zu konfigurieren und Warnmeldungen zu optimieren.
Verarbeitung großer Mengen von Protokolldaten: Eine große Menge an Protokolldaten muss verarbeitet und analysiert werden. Für die Verarbeitung großer Datenmengen werden entsprechende Hardware und Speicherressourcen benötigt. Außerdem müssen Sie die Aufbewahrungsfristen für Protokolldaten und die Datenkomprimierung/-reduktion verwalten.
Kontinuierliche Reaktion auf False Positives und Alarmüberlastung: SIEMs generieren Alarmmeldungen auf der Grundlage vordefinierter Regeln und Muster. Es können jedoch False Positives (legitime Aktivitäten werden fälschlicherweise als bösartig erkannt) und False Negatives Alarmen (bösartige Aktivitäten werden übersehen) auftreten. Außerdem kann je nach Konfiguration eine große Anzahl von Alarmen empfangen werden. Das erfordert eine kontinuierliche Abstimmung der Alarme und eine Verbesserung der Regeln auf der Benutzerseite.
Reaktion nach Entdeckung eines Vorfalls: Wenn ein Ereignis erkannt wird, muss der tatsächliche Vorfall bestätigt und in Echtzeit darauf reagiert werden. Stimmt das Sicherheitspersonal die Alarme nicht im Voraus ab, muss es auf Alarme unterschiedlicher Größe reagieren. Das kann wiederum die operative Effizienz beeinträchtigen.
Anforderungen an Fähigkeiten und Ressourcen: Die ordnungsgemäße Implementierung und der Betrieb von SIEM erfordern Kenntnisse in der Sicherheitsanalyse und der Protokollverwaltung. Sie erfordern auch die Verfügbarkeit geeigneter Ressourcen (Personal, Hardware und Software).
Ein ähnliches Tool zur Verbesserung des Sicherheitsniveaus und der Effizienz wie SIEM ist XDR (Extended Detection and Response). Die Unterschiede zwischen SIEM und XDR sind wie folgt:
Datenerfassungsziele und Kontextualisierung
Analyse und Erkennung
Reaktion auf Vorfälle und Automatisierung
Abhängigkeit von der Quelle