Security Information and Event Management (SIEM)

Wie funktioniert eigentlich eine SIEM-Lösung?

SIEM-Systeme sammeln Ereignis- und Protokolldaten von unterschiedlichsten Systemen ein. Dazu können beispielsweise folgende Kategorien gehören: Hostsysteme, Anwendungen, Sicherheitslösungen wie Antivirusprodukte oder Firewalls. Die Daten werden in der gesamten Infrastruktur eines Unternehmens eingesammelt. Die SIEM-Tools identifizieren und sortieren die Daten in Kategorien wie erfolgreiche und fehlgeschlagene Anmeldungen, Malware-Aktivitäten und andere wahrscheinlich bösartige Aktivitäten.

Werden potenzielle Sicherheitsprobleme identifiziert, generiert die SIEM-Software dann entsprechende Sicherheitswarnungen. Über vordefinierte Regeln können Admins diese Warnungen als hohe oder niedrige Priorität festlegen.

Erfolgen beispielsweise auf ein Benutzerkonto 25 fehlgeschlagene Anmeldeversuche in 25 Minuten, kann dies als verdächtig vermerkt werden. Es kann aber mit einer niedrigen Priorität versehen werden, wenn davon ausgegangen wird, dass die Anmeldeversuche wahrscheinlich von dem Benutzer unternommen wurden, der seine Anmeldedaten vergessen hat.

Ein Benutzerkonto, bei dem hingegen innerhalb von fünf Minuten 130 fehlgeschlagene Anmeldeversuche registriert werden, würde als Ereignis von hoher Priorität gekennzeichnet. Hierbei könnte es sich um einen laufenden Brute-Force-Angriff handeln.

Warum ist SIEM wichtig?

Der Einsatz einer SIEM-Lösung ist für Unternehmen von großer Bedeutung, da es das Sicherheitsmanagement massiv erleichtert. Ein SIEM-Produkt filtert die großen Mengen an Sicherheitsdaten und sortiert die generierten Sicherheitswarnungen nach Priorität.

SIEM-Software erlaubt es Organisationen, Vorfälle zu erkennen, die andernfalls möglicherweise unentdeckt geblieben wären. Die Software analysiert Protokolldaten, um Anzeichen für böswillige Aktivitäten zu entdecken. Da das System Ereignisse aus unterschiedlichsten Quellen in der IT-Umgebung einsammelt, ist es so möglich eine Zeitachse eines Angriffs zu erstellen. Über diese Informationen können Sicherheitsverantwortliche auch die Art des Angriffs und die Auswirkungen auf den Geschäftsbetrieb bestimmen.

Zudem hilft ein SIEM-System Unternehmen bei der Erfüllung von Compliance-Anforderungen. Eine SIEM-Lösung kann automatisch Berichte erstellen, die alle protokollierten Sicherheitsereignisse aus den eingebundenen Quellen enthalten. Ohne entsprechende Software müssten Unternehmen diese Protokolldaten manuell zusammentragen und die Berichte anfertigen.

Auch bei der Reaktion auf Vorfälle kann eine SIEM-Lösung hilfreiche Dienste leisten. Es wird dem Sicherheitsteam ermöglicht, den Ursprung und die Route eines Angriffs auf das Netzwerk aufzudecken. So lassen sich die Quellen identifizieren, die kompromittiert wurden. Über automatisierte Tools ist es möglich, laufende Angriffe zu stoppen oder einzugrenzen.

Was sind die Vorteile von SIEM?

Zu den Vorteilen von SIEM-Lösungen (Security Information and Event Management) gehörten folgende Punkte:

• Die Zeit, die für die Identifizierung von Bedrohungen benötigt wird, verkürzt sich erheblich. Dadurch kann sich der durch diese Angriffe verursachte Schaden reduzieren.
• Es wird eine ganzheitliche Sicht auf die Sicherheit einer Organisation möglich und das Sammeln und Analysieren von sicherheitsrelevanten Daten erleichtert. Alle eingesammelten Daten fließen in ein zentrales Repository, wo sie gespeichert und leicht zugänglich sind.
• Die Anwendungsfälle von SIEM sind vielfältig und reichen von Sicherheitsüberwachung über Audit- und Compliance-Berichte, Helpdesk sowie Netzwerk-Troubleshooting.
• SIEM-Produkte unterstützten in aller Regel große Datenmengen, so dass es kein Problem ist, wenn Unternehmen wachsen und sich vergrößern.
• Per SIEM lassen sich Bedrohungen erkennen und Sicherheitswarnungen auslösen. Bei Sicherheitsverstößen können auch detaillierte forensische Analysen durchgeführt werden.

SIEM und die Einschränkungen

Trotz aller Vorteile, die der Einsatz einer SIEM-Lösung mit sich bringt, existieren nach wie vor einige Einschränkungen:

• In aller Regel ist die Implementierung einer SIEM-Lösung einigermaßen aufwendig und kostet Zeit. Es ist eine erfolgreiche Integration mit den anderen Sicherheitslösungen im Unternehmen nötig, zudem müssen alle zu überwachenden Systeme ordnungsgemäß eingebunden werden.
• Der SIEM-Einsatz kann durchaus kostspielig sein. Das kann sowohl für den Anschaffungspreis als auch die Unterhaltskosten gelten. Je nach Organisation kann es sehr komplex sein, eine SIEM-Implementierung immer auf dem aktuellen Stand zu halten.
• Das Analysieren, Konfigurieren und Integrieren von entsprechenden SIEM-Berichten erfordern die richtigen Fachkräfte. Aus diesem Grund werden SIEM-Systeme häufig direkt einem SOC (Security Operations Center) betrieben, einer zentralen Einheit, die sich um die gesamte IT-Security eines Unternehmens kümmert.
• Der Erfolg des Einsatzes einer SIEM-Lösung hängt unter anderem von den Regeln zur Analyse aller aufgezeichneten Daten ab. In der IT-Umgebung entstehen pro Tag eine Vielzahl an Warnmeldungen, die richtig eingeordnet werden müsse. Da es eine Vielzahl irrelevanter Meldungen gibt, ist es schwierig die potenziellen Angriffe zu identifizieren.
• Ein falsch konfiguriertes SIEM-Tool kann wichtige Sicherheitsereignisse übersehen, was es als Sicherheitswerkzeug weniger effektiv macht.

Wie man das richtige SIEM-Produkt auswählt

Die Auswahl des passenden SIEM-Tools hängt von einer Reihe von Faktoren ab, darunter dem Budget und der Sicherheitssituation eines Unternehmens.

In jedem Fall sollten Unternehmen jedoch nach SIEM-Produkten Ausschau halten, die folgende Funktionen bieten:

• Erstellung von Compliance-Berichten;
• Vorfallreaktion und forensische Untersuchungsmöglichkeiten;
• Überwachung des Zugriffs auf Datenbanken und Server;
• Das Erkennen interner und externer Bedrohungen;
• Echtzeitüberwachung im Hinblick auf Bedrohungen, Korrelation und Analyse über eine Vielzahl von Anwendungen und Systeme hinweg;
• Intrusion Detection System (IDS), Intrusion Prevention System (IPS), Firewall, Ereignis-Anwendungsprotokoll und viele weitere Anwendungs- und Systemintegrationen;
• Integrierte Threat Intelligence;
• Die Überwachung der Nutzeraktivitäten (UAM, User Activity Monitoring), gemäß aller Datenschutzvorschriften.

Die Entwicklung von SIEM

Die SIEM-Technologie existiert ungefähr seit Mitte der 2000er-Jahre und hat sich zunächst mit der Verwaltung der Protolldaten beschäftigt. Dabei ging es um das Einsammeln der Logdaten sowie Richtlinien zur Übertragung, Analyse und Speicherung großer Mengen an Protokolldaten, die innerhalb einer IT-Umgebung erzeugt werden.

Die Analysten von Gartner haben den Begriff SIEM in dem Garnter-Bericht von 2005 geprägt: Improve IT Security with Vulnerability Management. In diesem Bericht schlugen die Analysten ein neues Sicherheitsinformationssystem vor, das auf SIM (Security Information Management) und SEM (Security Event Management) basiert.

Aufbauend auf älteren Verwaltungslösungen für Logdaten, führte SIM die Berichterstattung und die Langzeitanalyse für die Protokolldaten ein. Darüber hinaus integrierte SIM auch Bedrohungsinformationen (Threat Intelligence). SEM befasst sich mit der Identifizierung, Sammlung, Überwachung und Berichterstattung sicherheitsrelevanter Ereignisse in Software, Systemen oder IT-Infrastrukturen.

Durch die Kombination von SEM, das Protokoll- und Ereignisdaten in Echtzeit analysiert und Bedrohungsüberwachung und Vorfallreaktion bietet, mit SIM, das Protokolldaten sammelt, analysiert und darüber berichtet, schufen die Anbieter SIEM.

Die Zukunft von SIEM

Folgende Weiterentwicklungen gehören zu den Trends bei SIEM-Lösungen:

• Verbesserte Orchestrierung. Aktuell bieten SIEM-Lösungen Unternehmen häufig eine grundlegende Workflow-Automatisierung. Da Organisationen jedoch häufig flexibel wachsen, müssen SIEM-Lösungen diesbezüglich neue Funktionen bieten. Durch den zunehmenden Einsatz von künstlicher Intelligenz und maschinellem Lernen können SIEM-Tools eine schnellere Orchestrierung bieten. So ist es schneller möglich, den verschiedenen Abteilungen eines Unternehmens das gleiche Schutzniveau zu bieten. Zudem wird die Anwendung der Sicherheitsroutinen schneller und effizienter.
• Ein besseres Zusammenspiel mit MDR-Tools (Managed Detection and Response). Die Bedrohungen durch Angreifer und unbefugtem Zugriff nehmen weiter zu, daher ist es wichtig, dass Unternehmen einen mehrstufigen Ansatz zur Erkennung und Analyse von Sicherheitsbedrohungen umsetzen. Das IT-Team kann ein SIEM-System intern implementieren, während ein Managed Service Provider das MDR-Tool einrichtet.
• Erweiterte Cloud-Unterstützung. Die SIEM-Anbieter verbessern die Cloud-Unterstützung im Hinblick auf Verwaltung und Überwachung. Damit werden sie der zunehmenden Cloud-Nutzung in Unternehmen gerecht.
• SIEM und SOAR werden zusammenwachsen. SIEM und SOAR (Security Orchestration, Automation and Response) haben durchaus Gemeinsamkeiten und unterscheiden sich dennoch. SOAR ist der etwas neuere Ansatz und hebt die Analyse auf eine neue Ebene. Beide Ansätze ergänzen sich ganz hervorragend, es bleibt abzuwarten wie die jeweiligen Produkte sich aufeinander zu oder weiterentwickeln.