Was ist SIEM? Security Information and Event Management – Grundlagen

Kurzfassung

Software für Security Information and Event Management (SIEM) vereint Bedrohungserkennung, Event-Protokollierung und Echtzeit-Alarmierung in einer einzigen Plattform. Durch die Integration mit Firewalls, Antiviren-Tools, Datenbanken und Benutzerendgeräten hilft SIEM Unternehmen dabei, Brute-Force-Angriffe, gestohlene Anmeldedaten und Malware zu erkennen, bevor sich der Schaden ausbreitet. Obwohl SIEM-Lösungen leistungsstark sind, verursachen sie erhebliche Kosten und erfordern eine kontinuierliche menschliche Überwachung – weshalb sie sich am besten für große Organisationen oder solche mit strengen Compliance-Anforderungen eignen. Priorisieren Sie bei der Bewertung von Anbietern Machine-Learning-Funktionen, Integrationstiefe und Compliance-Reporting-Funktionen.

SIEM-Tools wurden ursprünglich entwickelt, um Ihr aktuelles Sicherheitssystem zu bewerten und Bedrohungen zu erkennen. Wenn sie ein Problem feststellen, kann dasselbe System es stoppen, bevor es sich verschlimmert. 

SIEM-Tools und ihre Vorteile verstehen

SIEM-Tools sind leistungsstark, und in einigen Branchen sind sie vorgeschrieben. Es ist fast unmöglich, ohne ein SIEM jeden Bereich eines großen Systems zu überblicken. Und falls ein Problem auftritt, kann Ihnen das Event-Reporting aus Ihrem SIEM das Leben erleichtern. 

Wenn Sie jedoch ein kleines Unternehmen mit wenig Personal leiten, könnten die Zeit und der Aufwand für die Suche nach dem richtigen SIEM und dessen Installation andernorts besser investiert werden. 

Wo ordnen Sie sich in diesem Spektrum ein? Und worauf sollten Sie bei einem Softwarepartner achten? Lassen Sie uns etwas tiefer ins Detail gehen.

Was ist SIEM? 

Gartner definiert SIEM als eine Technologie, die Sicherheits-Events sowohl erkennen als auch blockieren kann, während sie gleichzeitig Informationen für Echtzeit- oder historische Analysen protokolliert. 

Hier ein Beispiel. Jemand kopiert Tausende Dateien von Ihrem Server. Ein SIEM könnte:

• Identifizieren. Das Programm weiß, wie routinemäßiges Kopieren von Dateien aussieht, sodass dieses ungewöhnliche Verhalten Alarm auslöst. 
• Protokoll. Das SIEM protokolliert das Problem, wann es aufgetreten ist, und alles, was es als Nächstes tun wird, um das Problem zu beheben. 
• Warnung. Das System sendet eine Benachrichtigung an die zuständigen Parteien, dass etwas passiert. 
• Direkt. Das System könnte diesen einzelnen Benutzer daran hindern, Dateien zu kopieren, bis die Untersuchung abgeschlossen ist. 

Wie hat sich SIEM aus SEM und SIM entwickelt?

SIEM-Tools entstanden aus einer Kombination von Security Event Management (SEM)-Tools und Security Information Management (SIM)-Lösungen. Anstatt zwei Softwarelösungen zu kaufen, um Bedrohungen zu erkennen und zu beheben, drängten Unternehmen auf ein einziges Programm, das beide Aufgaben bewältigen konnte. Reporting-Funktionen entstanden aus gesetzlichen Vorschriften (wie dem Payment Card Industry Data Security Standard (PCI DSS)), die genaue Protokolle erforderten. 

Moderne SIEM-Tools setzen auf die Leistungsfähigkeit von Machine Learning. Wenn das System nicht versteht, wie normales Verhalten aussieht, müssen Programmierer:innen die Daten bereitstellen, und das ist zeitaufwendig. Durch die Integration von Machine Learning kann das Programm auf Knopfdruck lernen und wird mit jedem Tag leistungsfähiger und hilfreicher. 

Mit dieser Leistung ist ein hoher Preis verbunden. Ein SIEM kann in der Anschaffung, Programmierung und Wartung teuer sein. Aus diesem Grund sind große Organisationen und börsennotierte Unternehmen in der Regel die größten Nutzer:innen von SIEM-Lösungen.

Wie funktioniert SIEM? 

Wie kann SIEM gleichzeitig Ermittler und Durchsetzungsinstanz sein? Integration ist entscheidend. 

Ihr SIEM verbindet sich mit allen Arten von Geräten in Ihrem Netzwerk, darunter:

• Antivirensoftware 
• Anwendungen 
• Datenbanken 
• Firewalls 
• Benutzerterminals 

Jeder dieser Punkte sendet Daten an das SIEM. All diese Bytes fließen in eine Managementkonsole. Manchmal verlassen sich die Programme auf Menschen, um alle Informationen zu sichten und zu interpretieren. 

Wie verwaltet und priorisiert ein SIEM Daten?

Fast 80 % der IT-Expert:innen empfinden ihre Arbeit bereits als stressig. Ihnen noch ein weiteres Dashboard mit Hunderten von Datenpunkten zur Verfügung zu stellen, wird sie möglicherweise nicht beruhigen. Aber ein SIEM ist etwas anders als ein herkömmliches Sicherheitstool. 

SIEMs können auch die Gefahr eines bestimmten Auslösers oder Alarms bewerten. Sie könnten sich dafür entscheiden, nur die Probleme zu überwachen, die das Programm als kritisch einstuft, und die anderen Logs später zu analysieren. 

Eine Full-Service-SIEM-Lösung kann diese spezifischen Aufgaben übernehmen:

• Warnung. Ein SIEM informiert Sicherheitsexpert:innen genau in dem Moment, in dem es ein Problem erkennt. 
• Erfassen. Das Programm bezieht Informationen aus mehreren Quellen und legt jeden Datenpunkt an einem Ort ab. 
• Vergleichen. Ein SIEM kann aktuelle Vorgänge analysieren und diese mit der Programmierung, früheren Problemen oder normalen Aktivitäten vergleichen. 
• Derzeit. Es stellt Datenpunkte in einem übersichtlichen Dashboard dar. 
• Datensatz. SIEMs erfassen Daten zu Compliance-Zwecken. Und sie speichern die Daten, falls ein Team später auf den Datensatz zurückgreifen muss.

Jedes Tool ist anders, und einige bieten Funktionen, die wir hier nicht erwähnt haben. Aber diese kurze Liste vermittelt Ihnen eine Vorstellung davon, was ein SIEM ist und was es leisten kann.

Was sind die Vorteile und Einschränkungen von SIEM?

Die Investition in eine neue Sicherheitslösung nimmt Zeit in Anspruch. In den meisten Unternehmen sind mehrere Personen an jeder Kaufentscheidung beteiligt. Und wenn Sie ein SIEM in Betracht ziehen, stehen Ihnen Dutzende Anbieter zur Auswahl. Lohnt sich der Aufwand?

Stellen Sie sicher, dass Ihr Einkaufsteam diese Vor- und Nachteile versteht, bevor Sie mit dem Beschaffungsprozess beginnen. Vielleicht entscheiden Sie, dass SIEM einfach nicht das Richtige für Sie ist, oder Sie möchten umso lieber gleich loslegen. 

Welche häufigen Angriffe kann ein SIEM erkennen? 

Wir haben erwähnt, dass SIEM Daten überprüfen und ungewöhnliches oder problematisches Verhalten erkennen kann. Was genau könnte ein solches Tool finden?

SIEM-Lösungen haben sich als nützlich erwiesen bei der Erkennung von:

• Brute-Force-Angriffe. Ein Hacker, der ein Passwort innerhalb von Minuten tausendmal rät, hat nicht einfach nur ein Passwort vergessen. Diese Person versucht, sich gewaltsam Zutritt zu verschaffen. Ein SIEM könnte diese tausend Versuche als fehlerhaft identifizieren. 
• Gestohlene Identität. Ein:e Benutzer:in, die:der sich aus einem ungewöhnlichen Land oder einer ungewohnten Zeitzone anmeldet, könnte ein:e Hacker:in sein. Ein SIEM könnte dieses Problem als Grund zur Sorge erkennen. 
• Malware. In Verbindung mit Ihrer Antivirensoftware könnte ein SIEM den Moment erkennen, in dem ein Hacker ein Schadprogramm einsetzt. Wenn die Software es nicht sofort entfernt, könnte das SIEM eingreifen. 

Im Grunde verstehen solche Programme, wie der Normalzustand aussieht. Dann benachrichtigen sie Sie, sobald etwas Ungewöhnliches passiert. Die Ergebnisse können erstaunlich sein.

Ist SIEM das Richtige für Sie?

Wenn Sie auf der Suche nach einem SIEM sind, stehen Ihnen viele Anbieter zur Auswahl. IBM, Intel, Trustwave und andere verkaufen allesamt Produkte in diesem Markt. Wie können Sie die richtige Wahl treffen?

Fragen Sie jeden Anbieter nach:

• Integration. Wird die Software mit allen Programmen, Servern und Systemen funktionieren, die Sie derzeit im Einsatz haben?
• Programmierung. Verwendet das Tool Machine Learning? Oder müssen Sie ihm helfen zu verstehen, wie Bedrohungen aussehen? 
• Berichte und Protokolle. Wie sehen typische Dashboards und Berichte aus? Kann das System Berichte entsprechend Ihrer spezifischen Compliance-Landschaft generieren?

Sollten Sie auf ein SIEM der nächsten Generation warten?

Wenn Sie noch nicht bereit für einen Kauf sind, könnte es ratsam sein, auf die nächste Iteration von SIEM zu warten. Expert:innen gehen davon aus, dass neuere Programme mehr Automatisierung, bessere Machine-Learning-Fähigkeiten, eine engere Zusammenarbeit, mehr Integration und eine bessere Cloud-Funktionalität bieten werden. Wenn eines dieser Attribute für Ihr Unternehmen von entscheidender Bedeutung ist, kann es ratsam sein, zu warten.

Dringende Hilfe zu Okta erhalten 

Erhalten Sie Einblicke in die Bedrohungen, denen Sie ausgesetzt sind, und die Lösungen, die Sie benötigen. Die Lösungen von Okta sind intuitiv und leistungsstark und lassen sich zudem bemerkenswert einfach bereitstellen. Erfahren Sie, wie wir Sie dabei unterstützen können, Bedrohungen zu erkennen.  Kontaktieren Sie uns, um mehr über die ersten Schritte zu erfahren. 

Häufig gestellte Fragen

Was ist der Unterschied zwischen SIEM, SEM und SIM?

Security Event Management (SEM) und Security Information Management (SIM) waren ursprünglich separate Tools – SEM konzentrierte sich auf Bedrohungserkennung und Reaktion, während SIM das Informationsmanagement übernahm. SIEM vereint beide Funktionen in einer einzigen Plattform, sodass Unternehmen Sicherheitsvorfälle erkennen, protokollieren, melden und darauf reagieren können, ohne zwei separate Lösungen zu benötigen.

Lohnt sich die Investition in SIEM für kleine Unternehmen?

Für kleine Unternehmen mit begrenzten personellen Ressourcen kann der Zeit- und Kostenaufwand für die Auswahl, Implementierung und Wartung einer SIEM-Lösung den Nutzen übersteigen. SIEM-Tools sind besonders wertvoll für große Organisationen und börsennotierte Unternehmen, die komplexe Compliance-Anforderungen erfüllen müssen und umfangreiche Netzwerke verwalten. Kleinere Unternehmen sollten die Kosten und den Personalbedarf sorgfältig abwägen, bevor sie sich festlegen.

Wie erkennt ein SIEM Bedrohungen wie Brute-Force-Angriffe oder gestohlene Anmeldedaten?

Ein SIEM erstellt eine Baseline für normales Verhalten in Ihrem gesamten Netzwerk. Wenn die Aktivität von diesem Referenzwert abweicht – beispielsweise bei Tausenden fehlgeschlagenen Anmeldeversuchen innerhalb von Minuten (Brute-Force) oder wenn sich ein:e Benutzer:in aus einem ungewöhnlichen Land oder einer ungewöhnlichen Zeitzone anmeldet (möglicher Identitätsdiebstahl) –, stuft das SIEM dies als verdächtig ein, alarmiert das Sicherheitspersonal und kann automatisierte Maßnahmen ergreifen, wie etwa den:die Benutzer:in zu sperren.

Was sind die größten Nachteile herkömmlicher SIEM-Lösungen?

Herkömmliche SIEM-Programme können in der Anschaffung und Wartung teuer sein, erfordern rund um die Uhr menschliche Überwachung und neigen dazu, falsch-positive Warnmeldungen zu generieren, die unnötigen Alarm auslösen können. Darüber hinaus hat ein herkömmliches SIEM eine Nutzungsdauer von nur 18 bis 24 Monaten, was bedeutet, dass Unternehmen möglicherweise relativ schnell in neuere Lösungen reinvestieren müssen.

Was sollte ich einen SIEM-Anbieter vor dem Kauf fragen?

Erkundigen Sie sich bei der Evaluierung von SIEM-Anbietern nach der Integrationskompatibilität mit Ihren bestehenden Programmen, Servern und Systemen, ob das Tool Machine Learning verwendet oder eine manuelle Bedrohungsprogrammierung erfordert, und welche Funktionen für das Compliance-Reporting zur Verfügung stehen. Das Verständnis dieser Faktoren hilft dabei sicherzustellen, dass die Lösung zum spezifischen Sicherheits- und Regulierungsumfeld Ihrer Organisation passt.

Welche Verbesserungen werden bei SIEM-Tools der nächsten Generation erwartet?

Expert:innen erwarten, dass neuere SIEM-Plattformen eine stärkere Automatisierung, fortschrittlicheres Machine Learning, eine tiefere Integration in Cloud-Umgebungen und verbesserte Funktionen für die Zusammenarbeit bieten werden. Wenn diese Funktionen für Ihr Unternehmen von entscheidender Bedeutung sind, könnte es sich lohnen, auf die nächste Generation von SIEM-Lösungen zu warten, anstatt jetzt in eine Legacy-Plattform zu investieren.

Referenzen

Security Information and Event Management (SIEM). Gartner. 

Machine-Learning-Log-Analyse-Plattformen – der neue Wingman für SIEM? (Februar 2020). SC Media.

Wird die IT-Arbeit stressiger oder liegt es an den Millennials? (Mai 2015). Computerworld. 

In einer Flut von Vorschriften kämpfen Unternehmen mit der Compliance. (August 2019). Forbes. 

Leitfaden zur Evaluierung von NextGen SIEM. (2019). SANS Institute.