Was ist SIEM?
SIEM (Security Information and Event Management) ist eine Lösung für die Überwachung, Erkennung und Untersuchung der Cybersicherheit. SIEM sammelt, verwaltet und analysiert Ereignisprotokolle, die von Netzwerken und Systemen generiert werden. Dadurch trägt es zur frühzeitigen Erkennung von Sicherheitsvorfällen und zur schnellen Reaktion bei.
SIEM im Überblick
SIEM-Funktionen
- Protokollerfassung: Sammelt Alarm- und Protokolldaten von verschiedenen Geräten und Anwendungen.
- Korrelieren von Sicherheitsereignissen: Erkennt anomale Muster und Anzeichen von Angriffen, indem mehrere Ereignisse und Protokolle korreliert werden.
- Alarme und Benachrichtigungen: Erkennt und meldet anormale Aktivitäten und Sicherheitsvorfälle auf der Grundlage vordefinierter Regeln.
- Berichterstellung: Liefert Informationen und Verfahren für eine schnelle Reaktion auf Sicherheitsvorfälle und erstellt Workflows und Berichte für das Vorfallsmanagement.
SIEM-Anwendungsfälle im SOC
SIEM wird in erster Linie in einem Security Operations Center (SOC) eingesetzt, einer Organisation, die die Sicherheit innerhalb eines Unternehmens überwacht und das Auftreten von Cyberangriffen und -vorfällen erkennt. SIEM ist ein wichtiges Tool für Sicherheitsfachleute, das effiziente Sicherheitsabläufe auf folgende Weise unterstützt:
Alarmbenachrichtigung durch integrierte Protokollverwaltung: SIEMs verwalten verschiedene Protokolle auf integrierte Weise. Sie erkennen Anzeichen von abnormalen Aktivitäten oder Angriffen und alarmieren das Sicherheitspersonal. SIEM erkennt beispielsweise nicht nur Malware und andere nicht autorisierte Verhaltensweisen. Es alarmiert Sie auch, wenn verdächtige Ereignisse erkannt werden. Dazu gehören zum Beispiel mehrere Anmeldeversuche bei Servern, auf denen wichtige Informationen gespeichert sind, oder die Nutzung von Cloud-Diensten, die nicht von Ihrem Unternehmen autorisiert wurden.
Untersuchung von und Reaktion auf Vorfälle: Auf der Grundlage von nicht autorisierten oder verdächtigen Ereignissen untersucht SIEM, ob es sich um einen Cyberangriff handelt oder nicht (normales Verhalten, Zugriffsfehler usw.). Handelt es sich erkennbar um einen Cyberangriff, können die Route und der Umfang des Angriffs zurückverfolgt werden – auch, ob es sich um einen externen oder internen Cyberangriff handelt. Daraus lassen sich Anhaltspunkte für die Reaktion auf den Vorfall ableiten. Folgende Maßnahmen werden ergriffen:
- Wenn es sich um einen externen Cyberangriff handelt: Blockieren der IP der Zugriffsquelle, Ändern des Schwellenwerts, der vom Sicherheitsprodukt blockiert werden soll, usw.
- Wenn das Verhalten durch einen Mitarbeitenden verursacht wurde: Verstößt der Mitarbeiter oder die Mitarbeiterin gegen eine vom Unternehmen festgelegte Richtlinie (z. B. Zugriff auf Cloud-Speicher, obwohl die Nutzung von Cloud-Speicher verboten ist), wird zum Beispiel eine Verwarnung ausgesprochen.
Reporting: Sie erhalten mittel- bis langfristig ein Bild vom Stand der Verstöße gegen die Sicherheitsrichtlinien Ihres Unternehmens und von den Auswirkungen von Cyberangriffen und können daraus einen Bericht erstellen. Visualisiert wird, welcher Art von Cyberangriffen das Unternehmen über einen Zeitraum von einem Monat, drei Monaten, sechs Monaten, einem Jahr usw. ausgesetzt war. Daraufhin kann das Unternehmen überlegen, welche Sicherheitsmaßnahmen es als nächste ergreifen sollte.
Die wichtigsten Anwendungsfälle von SIEM sind oben aufgeführt. Der größte Vorteil von SIEM für das Sicherheitspersonal ist die Möglichkeit, Ereignisse und Protokollinformationen aus mehreren verschiedenen Produkten schnell zu visualisieren und mit der nächsten Aktion zu verknüpfen.
SIEM-Herausforderungen
SIEM schafft für SOCs und andere Organisationen Vorteile in Bezug auf verbesserte Sicherheit und betriebliche Effizienz. Gleichzeitig ist es mit den folgenden Herausforderungen verknüpft.
Komplexe Implementierung und Konfiguration: SIEMs sind komplexe Systeme, deren Implementierung und Konfiguration Zeit und Fachwissen erfordert. Sicherheitsfachleute müssen ständig daran arbeiten, Geräteprotokolle und Datenquellen zu integrieren, Regeln zu konfigurieren und Warnmeldungen zu optimieren.
Verarbeitung großer Mengen von Protokolldaten: Eine große Menge an Protokolldaten muss verarbeitet und analysiert werden. Für die Verarbeitung großer Datenmengen werden entsprechende Hardware und Speicherressourcen benötigt. Außerdem müssen Sie die Aufbewahrungsfristen für Protokolldaten und die Datenkomprimierung/-reduktion verwalten.
Kontinuierliche Reaktion auf False Positives und Alarmüberlastung: SIEMs generieren Alarmmeldungen auf der Grundlage vordefinierter Regeln und Muster. Es können jedoch False Positives (legitime Aktivitäten werden fälschlicherweise als bösartig erkannt) und False Negatives Alarmen (bösartige Aktivitäten werden übersehen) auftreten. Außerdem kann je nach Konfiguration eine große Anzahl von Alarmen empfangen werden. Das erfordert eine kontinuierliche Abstimmung der Alarme und eine Verbesserung der Regeln auf der Benutzerseite.
Reaktion nach Entdeckung eines Vorfalls: Wenn ein Ereignis erkannt wird, muss der tatsächliche Vorfall bestätigt und in Echtzeit darauf reagiert werden. Stimmt das Sicherheitspersonal die Alarme nicht im Voraus ab, muss es auf Alarme unterschiedlicher Größe reagieren. Das kann wiederum die operative Effizienz beeinträchtigen.
Anforderungen an Fähigkeiten und Ressourcen: Die ordnungsgemäße Implementierung und der Betrieb von SIEM erfordern Kenntnisse in der Sicherheitsanalyse und der Protokollverwaltung. Sie erfordern auch die Verfügbarkeit geeigneter Ressourcen (Personal, Hardware und Software).
Unterschiede zwischen SIEM und XDR
Ein ähnliches Tool zur Verbesserung des Sicherheitsniveaus und der Effizienz wie SIEM ist XDR (Extended Detection and Response). Die Unterschiede zwischen SIEM und XDR sind wie folgt:
Datenerfassungsziele und Kontextualisierung
- SIEM: sammelt, verwaltet und analysiert Ereignisse und Protokolle, die in einem Netzwerk oder System erzeugt werden. Die Analyse wird in erster Linie anhand von Protokolldaten durchgeführt, um abnormale Aktivitäten und Anzeichen von Angriffen zu erkennen.
- XDR: erfasst und analysiert Telemetriedaten aus verschiedenen Datenquellen, darunter Endgeräte, Netzwerke und die Cloud. Erfasst werden nicht nur Sicherheitsereignisse, sondern auch Endpunktdateien und Prozessinformationen, Netzwerkverkehrsdaten usw.
Analyse und Erkennung
- SIEM: analysiert die erfassten Daten nach vordefinierten Regeln und Algorithmen. Es erkennt ungewöhnliche Aktivitäten oder Anzeichen von Angriffen und erzeugt entsprechende Alarme und Warnungen. Einige Produkte bieten die Möglichkeit, Korrelationsanalysen zwischen mechanischen Protokollen durchzuführen. Die Beurteilung, ob es sich bei einem Ereignis um einen möglichen Cyberangriff handelt oder nicht, hängt jedoch im Wesentlichen von der menschlichen Intuition des Betreibers ab.
- XDR: ermittelt Anzeichen für Cyberangriffe für die erfassten Telemetriedaten; die Grundlage dafür bildet Threat Intelligence (Malware, bösartige Websites, bösartige E-Mails, Angriffsmethoden von Cyberangreifern usw.), über die Cyber-Sicherheitsunternehmen verfügen, von denen XDR bereitgestellt wird. So werden beispielsweise legitime Tools von Microsoft für Cyberangriffe missbraucht, wie PsExec, Cobalt Strike und Mimikatz.
Reaktion auf Vorfälle und Automatisierung
- SIEM: stellt grundlegende Informationen und Verfahren für Sicherheitsvorfälle zur Verfügung, um bei der Reaktion auf Vorfälle zu helfen. SIEM konzentriert sich in erster Linie auf die Generierung von Alarmmeldungen und die Überwachung. Für die eigentlichen Reaktionsverfahren können andere Produkte erforderlich sein.
- XDR: bietet Automatisierungs- und Orchestrierungsfunktionen zur Unterstützung einer schnellen Reaktion auf Sicherheitsvorfälle. Erkannte Bedrohungen werden analysiert, und Reaktionsanweisungen werden in Echtzeit bereitgestellt.
Abhängigkeit von der Quelle
- Der Wert einer SIEM-Lösung hängt direkt mit den Quellen zusammen, aus denen sie ihre Informationen bezieht. Wenn es Lücken in der Absicherung gibt, werden diese oft spät oder gar nicht bemerkt.
- Beim Vergleich von SIEM mit XDR geht es in den meisten Fällen nicht um ein Entweder-oder. Häufiger geht es um XDR und SIEM, da SIEMs den größten Nutzen aus den Detection-and-Response-Protokollen ziehen. Ein mögliches Fazit wäre:
- Eine SIEM-Lösung hängt von der Qualität der von Drittanbietern generierten Informationen ab. Deshalb kommt es häufig vor, dass beide Varianten parallel eingesetzt werden und XDR-Lösungen vorkorrelierte Daten an das SIEM weitergeben.
Trend Micro SIEM-Lösungen
Optimieren Sie Workflows mithilfe eines Ökosystems bestehend aus SIEM, SOAR, IAM, Firewall, Threat Intelligence, IT-Serviceverwaltung und mehr.