SIEM

In einem Unternehmen erzeugen Firewalls, Server, Endgeräte, Cloud-Dienste und Anwendungen ständig Protokolldaten. Einzeln betrachtet sagen diese Einträge oft wenig. Erst im Zusammenhang wird sichtbar, dass etwa eine ungewöhnliche Anmeldung, eine neue Weiterleitungsregel im Postfach und ein großer Datenabfluss zum selben Angriff gehören. Genau für diese Zusammenschau ist ein SIEM gedacht.

Wie funktioniert ein SIEM?

Ein SIEM erfüllt mehrere Aufgaben:

1. Sammeln: Logdaten aus unterschiedlichen Quellen werden zentral gespeichert.
2. Normalisieren: Die Daten werden in ein einheitliches Format gebracht, damit sie vergleichbar sind.
3. Korrelieren: Regeln und Analysen verknüpfen Ereignisse über Systeme hinweg und erkennen Muster, etwa viele fehlgeschlagene Anmeldungen, gefolgt von einer erfolgreichen.
4. Alarmieren: Auffälligkeiten werden als Alarm an das zuständige Team gemeldet.
5. Aufbewahren und Auswerten: Protokolle stehen für Untersuchungen, Berichte und Nachweise zur Verfügung.

Viele moderne SIEM-Lösungen laufen in der Cloud und nutzen neben festen Regeln auch Verhaltensanalysen. Häufig werden sie mit SOAR-Funktionen (Security Orchestration, Automation and Response) kombiniert, die wiederkehrende Reaktionen automatisieren, zum Beispiel das vorläufige Sperren eines Kontos.

Typische Beispiele

• Eine Anmeldung aus einem ungewöhnlichen Land wenige Minuten nach einer Anmeldung im Büro löst einen Alarm aus.
• Nach einem Vorfall rekonstruiert das Team anhand der gesammelten Logs, wann und wie die Angreifenden ins Netzwerk gelangt sind.
• Für Audits nach ISO/IEC 27001 oder für Anforderungen aus NIS2 werden Protokollierung und Auswertung nachgewiesen.

Worauf Unternehmen achten sollten

• Mit klar definierten Anwendungsfällen beginnen, statt möglichst viele Daten zu sammeln.
• Die wichtigsten Quellen zuerst anbinden, etwa Identitäten, E-Mail, Firewall, EDR und Server.
• Kosten für Datenmengen und Aufbewahrung realistisch planen.
• Verantwortlichkeiten für Alarme festlegen, denn ohne Personal, das reagiert, bringt ein SIEM wenig. Diese Aufgabe kann auch ein externes Security Operations Center übernehmen.
• Datenschutz beachten, da Protokolle häufig personenbezogene Daten enthalten.

Abgrenzung

IT-Monitoring überwacht vor allem Verfügbarkeit und Leistung von Systemen, etwa ob ein Server erreichbar ist oder eine Festplatte voll läuft. Ein SIEM wertet Ereignisse dagegen unter dem Gesichtspunkt der Sicherheit aus.