Security Information & Event Management (SIEM)-Systeme sind ein wesentlicher Bestandteil jeder modernen Cybersicherheits-Toolbox und helfen SOCs dabei, interne und externe Cyberbedrohungen zu erfassen, zu erkennen, zu untersuchen und darauf zu reagieren. Dieses wichtige Tool unterstützt Cybersicherheitsteams bei der Erfassung, Analyse und Durchführung von Sicherheitsoperationen und sorgt gleichzeitig für eine schnelle und optimale Reaktion auf Vorfälle. Wir haben ein umfangreiches Glossar zur Cloud-Sicherheit, SIEM ist jedoch ein komplexes Thema, das gesondert betrachten werden sollte. Lesen Sie weiter, um mehr über die Komponenten von SIEM, Best Practices, Anwendungsfälle und Trends zu erfahren.
Einführung in SIEM
SIEM ist ein Tool, das Informationen aus anderen cybersicherheitsrelevanten Systemen sammelt, aggregiert und analysiert. In den Anfängen des Internets waren SIEM-Tools nicht erforderlich, da es relativ wenige Systeme gab, die mit dem Internet verbunden waren. Eine einfache Firewall zum Blockieren nicht autorisierter Verbindungen reichte aus, um alle Systeme zu schützen, die online sein mussten. Normalerweise ging man davon aus, dass autorisierte Benutzer innerhalb des Unternehmens eine Verbindung herstellen würden, während alle Versuche, von außerhalb auf Unternehmensressourcen zuzugreifen, nicht autorisiert waren.
Da Menschen und Unternehmen jedoch immer stärker von digitalen Umgebungen abhängig sind, ist es für Cybersicherheitsteams heute komplexer geworden, interne und externe Bedrohungen zu überwachen und Schutz vor ihnen zu bieten. In Verbindung mit der Ausweitung des gesamten digitalen Ökosystems, dem Fachkräftemangel in der Cybersicherheitsbranche und der zunehmenden Angriffsfläche von Bedrohungsakteuren ist es wichtiger denn je, Cybersicherheitsteams mit den Werkzeugen und Ressourcen auszustatten, um diese Bedrohungen schnell und effektiv anzugehen. Möglicherweise verfügt ein Unternehmen über mehrere Server, die Verbindungen über verschiedene Ports akzeptieren – von Dateiservern und Datenbanken bis hin zu Videochats, VPNs und mehr. Da immer mehr Daten digital gespeichert werden, müssen sich Unternehmen über Bedrohungen von innen und außen Gedanken machen.
SIEM wurde als Möglichkeit entwickelt, die schiere Menge an Informationen, mit denen IT-Teams täglich zu tun haben, zu überwachen und im Griff zu behalten. Von der Bedrohungserkennung über die Forensik bis hin zur Reaktion auf Vorfälle macht SIEM den Umgang mit Cybersicherheitsbedrohungen zu einer viel einfacheren Aufgabe.
Komponenten von SIEM
SIEM bietet eine Möglichkeit, Informationen über sicherheitsrelevante Ereignisse und Vorfälle zu sammeln, zu verarbeiten und zu analysieren. Es gibt viele Komponenten, die in ein SIEM-System einfließen, aber sie können in zwei große Kategorien unterteilt werden:
Security Information Management (SIM)
Security Event Management (SEM)
SIM bezeichnet die Sammlung von Logfiles und anderen Daten in einem zentralen Repository, um diese zu einem späteren Zeitpunkt analysieren zu können. Man könnte es auch etwas unglamouröser als Protokollverwaltung bezeichnen. Im Gegensatz hierzu geht es bei SEM um die Verarbeitung von Informationen und das Monitoring von Ereignissen und Benachrichtigungen. SIEM kombiniert beides, wobei Daten aus einer Vielzahl verschiedener Quellen entnommen werden, einige in Echtzeit und andere nicht, und verarbeitet werden, um Bedrohungen oder potenzielle Probleme zu identifizieren und besser zu verstehen. SIEM-Systeme können Daten aus Protokollen, Angriffserkennungssystemen, Systemen zur Bekämpfung von Bedrohungen durch Insider und anderen Quellen kombinieren und fundierte Entscheidungen darüber treffen, welche Bedrohungen schwerwiegend genug sind, um die Benachrichtigung eines Systemadministrators für eine Reaktion zu rechtfertigen, und welche Aktivitäten weniger wichtig sind und kein sofortiges Handeln erfordern.
Implementierung von SIEM-Lösungen
Da die Bedrohungsvektoren und Angriffsflächen für SOC-Teams zunehmen, die überwacht und geschützt werden müssen, können sich Unternehmen auf eine breite Palette von SIEM-Angeboten verlassen, um ihre Cybersicherheitsteams zu unterstützen. Einige beliebte SIEM-Anbieter sind:
Bei der Auswahl einer SIEM-Lösung ist es wichtig, Ihre bestehende Infrastruktur zu berücksichtigen. Einige Tools wurden speziell für Betriebssysteme, Server oder Umgebungen entwickelt. Dabei sollten Sie unter anderem darauf achten, ob es sich bei der Lösung um einen cloudbasierten Abonnementdienst oder eine lokale Lösung auf Ihrem eigenen Server handelt. Funktioniert Ihr SIEM-Angebot auch für Multi-Cloud-, Hybrid- und lokale Umgebungen?
Es lohnt sich, die Lizenzen genau zu lesen. Manche Lösungen berechnen Gebühren pro Server oder verlangen mehr, um spezifische Integrationen oder Analysetools hinzuzufügen, was ziemlich kostspielig werden kann, wenn Sie ein großes oder komplexes System unterhalten.
Einige SIEM-Lösungen behaupten, dass sie Hunderte von Anwendungen/Servern von verschiedenen Anbietern sofort unterstützen, und dies kann von unschätzbarem Wert sein, wenn Sie Ihre SIEM-Lösungen schnell einrichten möchten. Wenn Sie einen relativ alten oder obskuren Server verwenden und Protokolle in einem ungewöhnlichen Format analysieren müssen, stellen Sie möglicherweise fest, dass moderne Tools diese Protokolle nicht von Haus aus unterstützen. Glücklicherweise sollten Sie in der Lage sein, die Analyse mit den meisten Tools manuell zu konfigurieren.
Manche Tools sind Open-Source-Software oder verfügen über kostenlose Ebenen, die für Sie möglicherweise gut geeignet sind, wenn Sie die Freiheit benötigen, die Lösung auf zahlreichen Servern auszuführen. Wenn Sie sich jedoch für eine kostenlose Open-Source-Lösung entscheiden, sollten Sie sich über die verfügbaren Support-Optionen informieren. Es kann sich lohnen, für ein Premium-Support-Paket zu bezahlen, um sicherzustellen, dass Ihre Monitoring-Systeme korrekt eingerichtet sind.
Integrationsstrategien für SIEM
Sicherheit ist eine komplexe Angelegenheit, und es gibt keinen einheitlichen Ansatz für SIEM. Wenn Sie Ihre vorhandenen Sicherheitstools in Ihre SIEM-Lösung integrieren möchten, sollten Sie zunächst Ihre Anwendungsfälle und die bestehenden Informationslücken berücksichtigen. Stellen Sie sich folgende Fragen:
Haben Sie Ihre SIEM-Ziele identifiziert?
Haben Sie eine Liste mit Anforderungen erstellt, die erfüllt werden müssen?
Haben Sie eine Liste mit Ihren Datenanforderungen?
Welche Daten protokollieren Sie bereits?
Haben Sie eine Liste mit Dingen, die Sie nicht protokollieren, aber protokollieren sollten?
Wie können Sie Ihr SIEM-Tool so konfigurieren, dass es Ihren Anforderungen entspricht und eine bessere Transparenz zu den Problemen bietet, mit denen Sie derzeit konfrontiert sind?
Viele Sicherheitslösungen bieten mit dem Simple Network Management Protocol (SNMP) eine Echtzeit-Berichterstellung. Dazu gehören APIs oder Datenexportsysteme, mit denen Sie die Daten aus Ihren vorhandenen Tools zur Analyse in Ihre SIEM-Plattform übertragen können. Bei richtiger Anwendung können SIEM-Tools Ihnen helfen, Anomalien zu erkennen und schnell und effektiv auf Sicherheitsverletzungen zu reagieren.
Wenn Sie jedoch zu viel protokollieren oder sich nicht sicher sind, wie Sie die protokollierten Daten verarbeiten sollen, werden Sie möglicherweise von der Fülle der Daten überfordert. Es ist wichtig, zu verstehen, was Sie sehen, und eine Vorstellung davon zu haben, was Ihre „Baseline“ ist, damit Sie Veränderungen in der normalen Aktivität erkennen können.
Anwendungsszenarien für SIEM
Einige gängige Beispiele für Dinge, die SIEM-Bereitstellungen aufgreifen können, sind:
Kompromittierte Konten: Wenn ein Mitarbeiter im Büro angemeldet ist und sich dann 20 Minuten später aus 650 km Entfernung anmeldet, ist das Konto wahrscheinlich kompromittiert.
Insider-Bedrohungen: Ein Systemadministrator oder Mitarbeiter mit Nutzerkonten mit hohen Zugriffsrechten, der sich außerhalb der Bürozeiten von zu Hause aus anmeldet, könnte versuchen, Daten zu exfiltrieren.
Brute Force-Versuche: Klassische Hacking-Versuche wie Brute Force, Pass the Hash oder Golden Ticket stechen in Logs meist recht deutlich hervor.
Phishing-Versuche: SIEM könnte verwendet werden, um festzustellen, wer einen Phishing-Versuch erhalten und ob jemand auf den Phishing-Link geklickt hat; dies bietet die Möglichkeit für Schulungen oder Abhilfemaßnahmen, wenn ein Konto kompromittiert wurde.
Fehlerbehebung nach einer Datenschutzverletzung: Wenn es zu einer Sicherheitsverletzung kommt, auch wenn diese nicht über einen der oben genannten Vektoren erfolgte, kann SIEM Administratoren auf Änderungen an der Serverkonfiguration oder sogar auf unerwartete Spitzen in der Speicherauslastung oder der Prozessorauslastung aufmerksam machen. So wird das Team über eine Sicherheitsverletzung benachrichtigt und erhält Zeit, die Systeme abzusichern, das Problem zu diagnostizieren und Abhilfemaßnahmen zu ergreifen.
Malware: SIEM könnte zum Monitoring von Dateiänderungen eingesetzt werden und als zusätzliche Verteidigungslinie gegen Ransomware dienen, indem es einen Alarm auslöst, wenn eine Malware-Infektion Dateien verschlüsselt, auf die normalerweise nicht zugegriffen wird.
Die Rolle von SIEM für die Compliance
SIEM kombiniert Protokollierung und Analyse und hilft Unternehmen, ihre Systeme zu schützen und Datenschutzbestimmungen einzuhalten . Zur Klarstellung: SIEM ist an sich kein Compliance-Instrument. SIEM-Dashboards warnen Administratoren jedoch vor Bedrohungen und Sicherheitsproblemen, die auf nicht autorisierte Aktivitäten oder Angriffe hinweisen. Wissen ist ein wesentlicher Bestandteil der Cybersicherheit, und Administratoren verfügen durch SIEM über das Wissen, das sie benötigen, um eine zuverlässige Verteidigung aufzubauen.
Einige der gängigsten Rahmenbedingungen, an die sich Unternehmen (je nach Branche) halten müssen, sind:
HIPAA: Organisationen im Gesundheitswesen können mit Geldstrafen zwischen 100 und 50.000 USD pro Verstoß belegt werden, und eine einzelne Sicherheitsverletzung kann als mehrere Verstöße gezählt werden.
PCI-DSS: Finanzinstitute müssen diese Vorschriften für eine sichere Zahlungs- und Datenverarbeitung einhalten. Die Bußgelder können zwischen 5.000 und 100.000 USD pro Monat liegen.
DSGVO: Unternehmen, die in Europa geschäftlich tätig sind und personenbezogene Daten verarbeiten, müssen sich an die DSGVO halten, und Geldstrafen können bis zu 20 Millionen Euro oder 4 % des Unternehmensumsatzes betragen, je nachdem, welcher Wert höher ist.
Es gibt auch staatliche oder regional geltende Vorschriften, wie z. B. die Datenschutzbestimmungen von Kalifornien und die Datenschutzvorschriften des ICO in England. Es liegt an jedem Unternehmen, zu bestimmen, welche Vorschriften es einhalten muss, und sicherzustellen, dass es in Übereinstimmung mit diesen Vorschriften arbeitet.
SIEM allein kann Sicherheitsverletzungen nicht verhindern. Es kann Unternehmen jedoch bei einer Sicherheitsverletzung alarmieren und so weiteren Schaden vermeiden. Es kann auch als wertvolle Form der Due Diligence dienen. Stellen Sie sich folgendes hypothetisches Szenario vor.
Ihr SIEM-Tool warnt Sie bei einer ungewöhnlichen Anmeldung auf einem längst vergessenen Server. Ihre Systemadministratoren untersuchen diese Anmeldung, erkennen, dass es sich um einen Verstoß handelt, und beheben ihn, während sie überprüfen, dass die Angreifer keinen Zugriff auf sensible Daten erlangt haben – dies bewahrt Sie vor erheblichen Geldstrafen und schlechter PR. Ohne die frühzeitige Warnung durch das SIEM-Tool hätten die Hacker möglicherweise Wochen oder Monate Zeit gehabt, die kompromittierten Systeme zu untersuchen, möglicherweise andere Schwachstellen zu finden und durch den Zugriff auf privilegierte Daten echten Schaden anzurichten.
SIEM Best Practices
Um das Beste aus Ihrem SIEM herauszuholen, ist es wichtig, Ihre Implementierung an Ihre individuellen Anforderungen anzupassen. Dazu gehört auch die Festlegung dessen, was Sie protokollieren und wie Sie diese Daten in ein Format konvertieren, das für Ihr Dashboard geeignet ist. Überlegen Sie auch, wie Sie Systeme automatisieren können, um Ihr SOC-Team nicht zu überfordern. Hier sind einige nützliche Best Practices, die Sie berücksichtigen sollten:
Definieren Sie Ihre Ziele klar.
Nutzen Sie einen zentralen Datenspeicher für Ihre Protokolle und ein optimiertes System zur Konsolidierung dieser Daten.
Stellen Sie sicher, dass Sie die Daten protokollieren, die Sie von all Ihren sicherheitsrelevanten Tools und Anwendungen benötigen.
Definieren Sie Ihre Richtlinien für die Aufbewahrung von Protokollen eindeutig, damit Sie über Daten verfügen, die weit genug zurückreichen, um Muster zu erkennen.
Vergewissern Sie sich, dass Ihre Protokollierung und Überwachung für alle Vorschriften, die Sie einhalten müssen, ausreicht.
Automatisieren Sie Ihre Arbeitsabläufe, wo immer dies möglich ist, um Ihren Mitarbeitern Zeit zu sparen und den Spielraum für Fehler zu verringern.
Nutzen Sie APIs oder andere Integrationen, um die Verbindung Ihrer SIEM-Tools mit Ihrer Sicherheitsinfrastruktur zu optimieren.
Informieren Sie alle relevanten Mitarbeiter über Ihre Incident-Response-Systeme.
Überprüfen Sie Ihre Sicherheitssysteme und -richtlinien regelmäßig.
Damit SIEM gut funktioniert, muss es die richtigen Dinge überwachen, und die Qualität der Daten, die es durchlaufen, muss hoch sein. Wenn Ihr SIEM-System regelmäßig Fehlalarme ausgibt, werden Ihre Sicherheitsteams diese möglicherweise ignorieren. Das Ziel von SIEM besteht darin, das „Hintergrundrauschen“ zu filtern und Zeit für Ihr SOC-Team zu sparen. Die Feinabstimmung des Systems kann einige Zeit in Anspruch nehmen, aber diese Zeitinvestition wird sich auf lange Sicht lohnen.
Entwicklung und zukünftige Trends in SIEM
SIEM entwickelt sich ebenso weiter wie andere Teile des IT-Ökosystems. KI- und Machine-Learning-Tools tragen zur Verbesserung von SIEM-Lösungen bei, insbesondere im Hinblick auf die automatisierte und schnelle Erkennung von Bedrohungen. Immer mehr Unternehmen migrieren in die Cloud, daher müssen moderne Sicherheitstools in der Lage sein, effizient in Hybrid- und Multi-Cloud-Umgebungen zu arbeiten.
Da die Prozessoren immer schneller und der Speicher günstiger werden, ist es außerdem einfacher, große Datenmengen zu verarbeiten. Cloud-Data-Lakes und ausgeklügelte Reporting-Tools, die in der Lage sind, große Mengen unstrukturierter Daten zu analysieren, ermöglichen es SIEM-Tools, Daten zu analysieren, die zuvor als „zu verrauscht“ weggeworfen wurden. Jetzt können diese großen Datenmengen verwendet werden, um bessere Benutzerprofile zu erstellen und verdächtige Nutzungsmuster zu identifizieren, was die Identifizierung kompromittierter Konten erleichtert.
Administratoren können rollenbasierte Zugriffskontrollen und Benutzerprofile verwenden, um den Schaden zu begrenzen, den ein kompromittiertes Benutzerkonto anrichten könnte. SIEM-Tools können zusammen mit Firewalls, Intrusion Detection, Endpoint Security und Tools zur Überwachung von Insider-Bedrohungen verwendet werden, um eine Rundum-Sicherheitslösung bereitzustellen. Diese Art von Leistung und Flexibilität ist in Umgebungen unerlässlich, in denen Remote-/Hybridarbeit an der Tagesordnung ist oder BYOD-Richtlinien (Bring Your Own Device) gelten.
Schöpfen Sie das Potenzial von SIEM aus
SIEM ist ein leistungsstarkes Konzept zur Überwachung, Bewertung und Analyse von Sicherheitsbedrohungen. SIEM-Tools der nächsten Generation, die Deep-Learning-Techniken nutzen, verbessern die Sicherheit, indem sie abnormales Netzwerkverhalten automatisch erkennen und identifizieren. Diese Tools stellen mithilfe interaktiver Dashboards Echtzeitinformationen zu böswilligen Aktivitäten bereit, sodass Administratoren umgehend Korrekturmaßnahmen ergreifen können.
SIEM ist ein wichtiges Werkzeug in Ihrem Arsenal, um Versuche von Cyberkriminellen, Ihre Systeme zu kompromittieren, zu erkennen und zu unterbinden.
SIEM ist zwar ein wesentlicher Bestandteil einer proaktiven Abwehr von Cyberbedrohungen, es ist aber ebenso wichtig, für den Fall eines erfolgreichen Cyberangriffs über einen Notfallplan zu verfügen. Um nicht zum Opfer zu werden, sollten Sie dafür sorgen, dass Sie sichere und geschützte unveränderliche Backups aufbewahren und pflegen.
Wenn Sie mehr darüber erfahren möchten, wie Veeam Sie bei der Datensicherung unterstützen kann, wenden Sie sich noch heute an uns, um einen Beratungstermin zu vereinbaren oder eine Demonstration unserer Software zu vereinbaren.
