Was ist ein SIEM?

Ein SIEM erfasst ein großes Datenvolumen in Sekundenschnelle und durchsucht es, um ungewöhnliches Verhalten aufzuspüren und zu melden, wodurch Sie Echtzeit-Einblicke zum Schutz Ihres Unternehmens erhalten – dies wäre manuell nicht möglich. Ein SIEM liefert Ihnen zu jedem Zeitpunkt eine Momentaufnahme Ihrer IT-Infrastruktur und ermöglicht Ihnen, Logdaten zu speichern und zu verwalten, um die Einhaltung von Compliance-Anforderungen sicherzustellen

Die Fähigkeit des SIEM-Systems, Daten aus allen Anwendungen und sämtlicher Hardware im Netzwerk in Echtzeit zu analysieren, kann Unternehmen dabei unterstützen, internen und externen Bedrohungen immer einen Schritt voraus zu sein.

Der Begriff „SIEM“ steht für „Security Information and Event Management“ und existiert seit mehr als zehn Jahren. Er hat sich seit seiner Prägung durch Gartner im Jahr 2005 erheblich weiterentwickelt. SIEM IT bzw. SIEM IT-Security besitzt vielleicht nicht die Faszination von KI-Technologien. Allerdings ist SIEM immer noch entscheidend für die Bedrohungserkennung (Threat Detection) in der zunehmend komplexeren und schnelllebigeren IT- und Security-Landschaft.

Zur SIEM IT-Security zugehörige Sicherheitskonzepte sind SEM (Security Event Management) und SIM (Security Information Management). Während bei SIM der Schwerpunkt auf der Erfassung und Verwaltung von Logs und anderen sicherheitsrelevanten Daten liegt, dreht sich bei SEM alles um Echtzeitanalysen und -berichte. In der Regel kombinieren SIEM-Systeme diese beiden Disziplinen des Sicherheitsinformationsmanagements.

Ein SIEM-System aggregiert Event-Daten aus verschiedenen Datenquellen innerhalb Ihrer Netzwerkinfrastruktur, einschließlich Servern, Systemen, Geräten und Anwendungen, vom Perimeter bis zum End User. Letztendlich bietet eine SIEM-Lösung eine zentrale Sicht mit zusätzlichen Erkenntnissen, in der Kontextinformationen über Ihre User, Assets und mehr kombiniert werden. Ein SIEM-System konsolidiert und analysiert die Daten auf Abweichungen von den von Ihrem Unternehmen definierten Verhaltensregeln, um potenzielle Bedrohungen zu erkennen.

Mögliche Datenquellen des SIEM sind:

• Netzwerkgeräte: Router, Switches, Bridges, Wireless Access Points, Modems, Leitungstreiber, Hubs
• Servers: Web, Proxy, Mail, FTP
• Sicherheitsgeräte: IDP/IPS, Firewalls, Antivirus-Software, Content-Filtergerät, Intrusion Detection-Anwendungen
• Anwendungen: Jegliche Software, die auf einem der oben genannten Geräte genutzt wird

Zu den Attributen eines SIEM-Systems, die analysiert werden können, gehören Benutzer, Eventtypen, IP-Adressen, Speicher, Prozesse und mehr. SIEM-Produkte ordnen Abweichungen Kategorien zu, wie etwa „Fehlgeschlagene Anmeldung“, „Account-Änderung“ oder „Potenzielle Malware“. Eine Abweichung bewirkt, dass das SIEM-System Sicherheitsanalysten darüber informiert und/oder die ungewöhnliche Aktivität aussetzt. Sie legen die Richtlinien für die Auslösung von Benachrichtigungen fest und definieren die Verfahren für den Umgang mit potenziell bösartigen Aktivitäten.

Ein SIEM-System erkennt zudem Muster und anomales Verhalten. Das bedeutet, wenn ein einzelnes Event für sich genommen noch keine Alarmglocken klingeln lässt, kann das SIEM am Ende eine Korrelation über mehrere Ereignisse hinweg feststellen, die ansonsten unentdeckt bliebe. Ebenso kann das SIEM-System eine entsprechende Benachrichtigung auslösen. Hierfür speichert das SIEM-Tool diese Logs in einer Datenbank, damit Sie die Möglichkeit haben, tiefer greifende forensische Untersuchungen durchzuführen oder die Einhaltung von Compliance-Anforderungen nachzuweisen.

Ein SIEM-Tool ist die Software, die als analysegestützte Cyber-Security-Zentrale innerhalb des SIEM-Systems fungiert. Alle Eventdaten werden an einem zentralen Ort erfasst. Das SIEM-Tool übernimmt die Analyse und Kategorisierung für Sie. Und, was noch viel wichtiger ist: Das SIEM-Tool liefert den jeweiligen Kontext, der Sicherheitsanalysten tiefere Einblicke in Security-Events innerhalb der Infrastruktur gibt.

SIEM-Technologien unterscheiden sich im Umfang. Dieser reicht von einfachem Log-Management und Altering-Funktionalität bis hin zu robusten Dashboards, Machine Learning und der Möglichkeit, umfassende Analysen mit historischen Daten durchzuführen. Führende Lösungen für SIEM-Security bieten Dutzende von Dashboards, wie etwa folgende:

• Überblick über relevante Events in Ihrer Umgebung, die potenzielle Security-Incidents darstellen
• Details zu allen relevanten Events, die in Ihrer Umgebung identifiziert wurden, damit Sie diese sichten und priorisieren können
• Ein Workbook mit allen offenen Untersuchungen, in dem Sie Ihre Fortschritte und Aktivitäten verfolgen können, wenn Sie mehrere Security-Incidents untersuchen
• Risikoanalyse für die Risikoeinstufung von Systemen und User in Ihrem Netzwerk, um Risiken zu identifizieren
• Bedrohungsinformationen, die Kontext zu Ihren Security-Incidents hinzufügen und bekannte Bedrohungen in Ihrer Umgebung identifizieren
• Protokollinformationen, die mithilfe der erfassten Paketdaten Netzwerkeinblicke bereitstellen, die für Ihre Sicherheitsuntersuchungen relevant sind, so dass Sie verdächtigen Traffic, DNS-Aktivitäten und E-Mail-Aktivitäten identifizieren können
• Benutzerinformationen für die Untersuchung und das Monitoring der Aktivitäten von Usern und Assets in Ihrer Umgebung
• Webinformationen für die Analyse des Web-Traffics in Ihrem Netzwerk

Auch nicht-traditionelle Tools finden den Weg in den Bereich der SIEM-Security, allen voran UBA (User Behavior Analytics). UBA, auch UEBA (User and Entity Behavior Analytics) genannt, wird eingesetzt, um interne und externe Bedrohungen aufzuspüren und zu beheben. UBA wird zwar oft als fortschrittlicher Security Use Case angesehen, wird aber zunehmend auch der SIEM-Security zugeordnet. So werden beispielsweise im Gartner Magic Quadrant für SIEM Informationen über UBA/UEBA-Angebote berücksichtigt.

UBA beinhaltet die Aufbereitung und Verwertung von Daten, durch die tiefere Einblicke und eine robustere Bedrohungserkennung möglich sind. Diese Einblicke unterscheiden ein modernes SIEM-Tool von herkömmlichen Lösungen. Die manuelle Durchführung dieser Art von Analyse ist fast unmöglich, lässt sich mit einem SIEM-Tool jedoch mit wenigen Klicks realisieren.

Moderne Lösungen für SIEM-Security können lokal, in der Cloud oder in einer hybriden Umgebung bereitgestellt und meistens parallel zu Entwicklung und Wachstum des Unternehmens skaliert werden.

Das SIEM hat die Aufgabe, Analysten im Security Operations Center (SOC) fundierte Erkenntnisse aus der Analyse von Eventdaten zu liefern, welche ansonsten zu vielfältig und umfangreich für eine manuelle Überprüfung sind. Die Analyse von Maschinendaten und Logdateien mithilfe eines SIEM-Systems kann bedrohliche Aktivitäten aufdecken und automatisierte Reaktionen auslösen. Dementsprechend trägt SIEM entscheidend dazu bei, die Reaktionszeit bei Angriffen erheblich zu verbessern.

SOCs gab es zwar schon vor der Einführung von SIEM, doch ein SIEM-System ist ein wichtiges Tool für das Ziel moderner SOCs. So trägt die SIEM-Security aktiv dazu bei, interne und externe Angriffe erfolgreich abzuwehren, das Bedrohungsmanagement zu vereinfachen, Risiken zu minimieren, unternehmensweit für Transparenz zu sorgen und Security Intelligence zu gewinnen..

Wenn es an die Entscheidung für eine SIEM-Software bzw. ein SIEM-Tool geht, werden Sie feststellen, dass Sie viele Optionen zu berücksichtigen haben. Achten Sie bei der Beurteilung der SIEM-Tools auf folgende wichtige Funktionen des SIEM:

1. Echtzeit-Monitoring: Angriffe erfolgen schnell, und je länger Sie mit der Abwehr warten, desto größer ist der Schaden. Ihre SIEM-Software sollte Ihnen in Echtzeit einen Überblick über das Geschehen in Ihrem Netzwerk geben, einschließlich der Aktivitäten im Zusammenhang mit Usern, Geräten und Anwendungen, sowie aller Aktivitäten, die nicht speziell mit einer Identität verknüpft sind. Ebenso sollte das SIEM-Tool über entsprechende Monitoring-Funktionen verfügen, die auf jedes lokale, Cloud- oder Hybrid-Data-Set angewendet werden können. Zusätzlich zu den Monitoring-Funktionen benötigen Sie die Möglichkeit, die vom SIEM-Tool bereitgestellten Informationen in einem verwertbaren Format zusammenzuführen. Wählen Sie ein SIEM mit einer Bibliothek mit anpassbaren, vordefinierten Korrelationsregeln, einer Sicherheits-Event-Konsole für die Echtzeitdarstellung von Security-Incidents und -Events sowie Dashboards, die Live-Visualisierungen der Bedrohungsaktivitäten ermöglichen.
2. Incident Response: Am wichtigsten ist, dass ein analysegestütztes SIEM über Autoresponse-Funktionen verfügen muss, die laufende Cyberangriffe unterbrechen können. Ein SIEM-Tool sollte zudem die Möglichkeit bieten, relevante Events und ihren Status zu identifizieren, den Schweregrad von Events anzugeben, Abhilfemaßnahmen einzuleiten und eine Prüfung des gesamten Prozesses durchzuführen, der den Incident umgibt.
   
3. Benutzer-Monitoring: Manche Bedrohungen können intern bestehen, entweder weil User eine tatsächliche Bedrohung darstellen oder weil ihr Verhalten das Unternehmen für externe Bedrohungen öffnet. Ihr SIEM-Tool sollte mindestens die Möglichkeit beinhalten, Zugriffs- und Authentifizierungsdaten zu analysieren, den Benutzerkontext zu ermitteln und Benachrichtigungen über verdächtiges Verhalten und Verstöße gegen unternehmensinterne und gesetzliche Richtlinien zu liefern. Wenn Sie für Compliance-Reporting zuständig sind, braucht das SIEM eventuell auch eine Funktion für das Monitoring privilegierter Benutzer (Privileged User, d. h. Benutzer, die mit besonders hoher Wahrscheinlichkeit Ziel von Angriffen sind). Dies ist in den meisten betroffenen Branchen eine häufig auftretende Compliance-Anforderung.
4. Threat Intelligence: Ihr SIEM-Tool sollte Sie dabei unterstützen, wichtige externe Bedrohungen zu identifizieren, wie etwa bekannte Zero-Day-Exploits und komplexe persistente Bedrohungen. Bedrohungsinformationen bieten Ihnen nicht nur die Möglichkeit, anormale Aktivitäten aufzudecken, sondern auch Schwachstellen in der Sicherheit zu erkennen, bevor diese ausgenutzt werden, und Reaktionen und Abhilfemaßnahmen zu planen.
5. Advanced Analytics und Machine Learning: Alle Daten und SIEM-Tools der Welt nützen Ihnen nichts, wenn Sie damit keine klaren Erkenntnisse gewinnen können. Bei komplexen Analysen werden anspruchsvolle quantitative Methoden wie Statistik, deskriptives und prädiktives Data Mining, Simulation und Optimierung eingesetzt, um tiefergreifende Erkenntnisse zu erhalten.
   
   Auf Machine Learning gestützte SIEM-Tools lernen mit der Zeit, was normales Verhalten darstellt und was eine echte Abweichung ist, und werden so immer genauer. Dies ist heute besonders wichtig, da sich Technologien, Angriffsvektoren und die Raffinesse von Hackern schneller denn je entwickeln.
6. Erkennung komplexer Bedrohungen: Da die meisten Firewalls und Intrusion Protection Systems nur schwer an neue komplexe Bedrohungen angepasst werden können, sollte Ihr SIEM in der Lage sein, Netzwerksicherheits-Monitoring, Endpunkterkennung, Response-Sandboxes und Verhaltensanalysen in Kombination miteinander durchzuführen. Nur so kann ein SIEM-Tool neue potenzielle Bedrohungen identifizieren und isolieren. Es ist also nicht damit getan, die Bedrohung mithilfe von SIEM zu erkennen. Sie sollten über das SIEM-System auch feststellen können, wie schwerwiegend die Bedrohung ist, wohin sie nach der Erkennung „gewandert“ ist und, wie sie eingedämmt werden kann.
   
7. Nahtloses Log-Management: Ihr SIEM-Tool sollte nicht nur Daten aus Hunderten oder gar Tausenden Datenquellen erfassen können. Ein SIEM sollte immer auch eine benutzerfreundliche, intuitive Schnittstelle bieten, die Sie tatsächlich zum Verwalten und Abrufen von Logdaten nutzen können.
   
8. Skalierbarkeit: Stellen Sie sicher, dass das gewählte SIEM-Tool Ihre Anforderungen nicht nur jetzt, sondern auch in Zukunft erfüllt. Besonders, wenn Ihr Unternehmen wächst und Ihr IT-Footprint größer wird, sollte auch ihre SIEM-Security stets flexibel bleiben und mitwachsen können.
   
   

Diese Frage stellt sich unausweichlich, sobald Sie über ein grundlegendes Verständnis von SIEM verfügen: Wie wähle ich das beste SIEM-Tool aus – passend zur jeweiligen Kombination aus Branche, Bedrohungsprofil, Organisation und Budget?

Der Aufbau einer wirksamen SIEM-Security hängt zwar stark davon ab, was für ein SIEM-Tool Sie konkret suchen bzw. brauchen. Aber Sie benötigen in jedem Fall eine SIEM-Software, die modernen Datenvolumen, der Komplexität heutiger Angriffe und der Anforderung gewachsen ist, intelligent und in Echtzeit auf Incidents zu reagieren.

In einer Welt ständig zunehmender Cyber-Bedrohungen – und auch zunehmend komplizierter und strikter Gesetzgebung, Compliance-Richtlinien und Konsequenzen bei Sicherheitsverletzungen – setzen Cyber-Security-Teams zunehmend auf SIEM. Sei es für die Event-Korrelation, Threat Intelligence, Aggregation von Sicherheitsdaten und vieles mehr. Gerade weil die Unternehmenssicherheit stark von der schnellen Identifizierung und Behebung von Cyber-Security-Problemen abhängt, sollten IT-Sicherheitsteams unbedingt die Fähigkeiten verschiedener SIEM-Systeme bzw. SIEM-Tools prüfen, um genau das SIEM zu finden, das ihren Anforderungen am besten entspricht.