Wenn es um Cybersicherheitstanden Unternehmen noch nie vor so vielen Herausforderungen wie heute. Jedes Jahr werden neue Rekorde in Bezug auf den Umfang und die Häufigkeit von Cyberangriffen aufgestellt.
Sicherheitsinformations- und Ereignisverwaltungslösungen (Security Information and Event Management, SIEM) helfen Unternehmen, der nicht enden wollenden Flut von Sicherheitsrisiken und Schwachstellen, mit denen das typische Unternehmen konfrontiert ist, einen Schritt voraus zu sein. Durch die Bereitstellung einer zentralen Plattform, mit der Unternehmen Daten sammeln, normalisieren und analysieren können, die Sicherheitsrisiken aufdecken könnten, beugt SIEM Bedrohungen durch frühzeitige Erkennung und postmortales Sicherheitsrichtlinienmanagement vor. Die Abfrage von Sicherheitsinformationen ermöglicht es SIEM-Besitzern, die Effektivität ihres Posture Management und ihrer Sicherheitskontrollen zu kennen und zu messen.
Der nicht enden wollende Strom von Sicherheitsrisiken und Schwachstellen erfordert die Interpretation von Daten aus verschiedenen IT-Ressourcen (IT, IoT, physisch, App usw.), um dann Bedrohungen in Echtzeit zu erkennen und darauf zu reagieren. Neue Bedrohungen, wie Angriffe auf die Software-Lieferkette, tauchen ständig auf. Und der Umfang und die Komplexität der Systeme, die Unternehmen verteidigen müssen, nehmen stetig zu, da immer mehr Arbeitslasten auf verteilte, Microservices-basierte Architekturen umgestellt werden.
Angesichts dieser Herausforderungen benötigen Unternehmen ein effizientes und umfassendes Mittel zum Sammeln, Normalisieren, Analysieren und Reagieren auf Informationen über Cyber-Bedrohungen.
In diesem Leitfaden erfahren Sie, wie SIEMs funktionieren, warum sie für moderne Unternehmen so wichtig sind und wie sie mit anderen Arten von Cybersicherheitsplattformen zusammenhängen, z. B. mit SOAR-Tools (Security Orchestration, Automation and Response). Es bietet auch eine Anleitung, wie Sie eine SIEM-Lösung am besten auswählen und konfigurieren, um die Effizienz und Zusammenarbeit zu maximieren und gleichzeitig das Risiko zu minimieren.
Was ist SIEM?
Security Information and Event Management ist eine Art von Cybersicherheitsplattform, die es Unternehmen ermöglicht, Sicherheitsereignisdaten aus verschiedenen Quellen zu sammeln, zu normalisieren und zu analysieren.
Zu den wichtigsten Funktionen eines SIEM-Systems gehören:
- Zentralisierte Sammlung, Analyse, Aggregation und Präsentation von sicherheitsrelevanten Daten
- Protokollverwaltung, Auditing und Überprüfung
- Ereignis-Korrelation
- Fallmanagement mit Echtzeit-Erstellung von Sicherheitswarnungen
- Bedrohungserkennung
- Insider-Bedrohungen und Erkennung von Anomalien
- Erstellung von Compliance-Berichten (PCI DSS, HIPAA und mehr)
SIEM-Funktionssätze können über diese wesentlichen Funktionen hinausgehen. Moderne SIEM-Technologien bieten beispielsweise häufig Funktionen, die den Teams bei der Koordination der Reaktion auf Vorfälle helfen, anstatt nur Bedrohungen zu erkennen. Es kann auch Analysen des Benutzer- und Entitätsverhaltens (UEBA) enthalten und mit Datenbanken für Bedrohungsdaten von Drittanbietern integriert werden, so dass Teams die von einem SIEM-Tool erkannten Bedrohungen in einen Kontext setzen und bestimmen können, wie hoch das jeweilige Risiko ist.
Ältere vs. moderne Tools
SIEM ist keine neue Technologie. Seine Ursprünge reichen bis in die neunziger Jahre zurück, und seither hat sich viel verändert. Zu dieser Zeit konnte wahrscheinlich niemand die enorme Ausweitung der Bedrohungsvektoren vorhersehen, die wir in letzter Zeit erlebt haben. Heute ist man sich einig, dass Standard- oder traditionelle SIEMs anachronistisch sind, daher die Bezeichnung Legacy SIEMs.
Die Hauptnachteile älterer SIEMs sind, dass sie:
- Sie sind komplex in der Bereitstellung – sie werden oft vor Ort und nicht in der Cloud bereitgestellt, was ihre Skalierung und Wartung erschwert
- Sie verfügen über begrenzte Ingestion-Funktionen, eine komplexe Architektur und lassen sich nur schwer in Tools von Drittanbietern integrieren (erfordern eigene Entwicklung)
- Sie leiden unter einer schwachen und unflexiblen Datenkorrelation, Leistungsproblemen und Störungen in der Verwaltung
- Erfordert viel Aufwand und Fachwissen für Analysten, um ihre Arbeit zu erledigen
All dies kann zu Alarmmüdigkeit, übersehenen Bedrohungen – insbesondere Insider-Bedrohungen – und einer ineffektiven Untersuchung von Bedrohungen führen.
Im Unterschied dazu bieten SIEM-Lösungen der nächsten Generation oder moderne SIEM-Lösungen folgende Vorteile:
- Sie sind einfach, relativ leicht zu bedienen, skalierbar und flexibel.
- Sie schließen Echtzeit- oder echtzeitnahe Untersuchungsmöglichkeiten ein.
- Sie arbeiten in jeder beliebigen Umgebung: vor Ort, in der Cloud, in einer Multi-Cloud oder als Hybrid.
- Sie umfassen automatisierte Bedrohungsinformationen, Datenanreicherung, Bedrohungserkennung, Priorisierung von Vorfällen und möglicherweise Reaktionsfähigkeiten.
- Sie umfassen die Möglichkeit, das Verhalten und die Aktivitäten von Benutzern zu verfolgen.
- Sie nehmen verschiedene Daten – wie Protokoll-, Netzwerk- und Cloud-Daten – von praktisch jeder Quelle und jedem Gerät auf, d. h. sie sind unabhängig von der Datenquelle und dem Anbieter.
- Sie bieten Integrationsmöglichkeiten, die über einen Stapel sofort einsatzbereiter Konnektoren hinausgehen.
- Sie bieten die Möglichkeit, benutzerdefinierte Regeln zusätzlich zu den integrierten Korrelationsregeln zu erstellen.
- Sie aktivieren die grundlegende automatische Reaktion auf Vorfälle.
Im Gegensatz zu älteren Systemen implementieren moderne SIEMs in der Regel Modelle für maschinelles Lernen und Big-Data-Analysen, was zu einem hochgradig adaptiven Verhalten führt. Ihre Machine-Learning-Engines (ML) lernen kontinuierlich aus riesigen Datenmengen und helfen Sicherheitsteams dabei, auf bisher unbekannte Bedrohungsszenarien zu reagieren.
Diese Fortschritte ermöglichen Ihnen, Unmengen von Daten auf wenige aussagekräftige Erkenntnisse zu reduzieren, was die ohnehin schon überlasteten Sicherheitsanalysten entlastet.
Warum brauchen Unternehmen ein SIEM?
Der Begriff „SIEM“ wurde im Jahr 2005 von den Analysten von Gartner geprägt. Er ist jedoch heute noch genauso relevant wie vor zwei Jahrzehnten, denn die Probleme, für deren Lösung die SIEM-Software entwickelt wurde, sind nicht verschwunden. Im Gegenteil, sie haben sich noch verstärkt, da der Umfang und die Komplexität von Cyberrisiken stetig zugenommen haben.
Der Hauptgrund, warum Unternehmen ein SIEM benötigen, ist, dass die Erkennung von Bedrohungen die Analyse vieler Datensätze erfordert und ein SIEM die einzige Möglichkeit ist, diese Analyse effizient und zentralisiert durchzuführen. Ohne sie müssten Cybersicherheits- und IT-Teams einzelne Protokolldateien und Ereignisströme manuell analysieren und nach Anomalien oder Mustern suchen, die auf Sicherheitsprobleme hinweisen könnten.
Dieser Sicherheitsvorgang wäre nicht nur zeitaufwändig und mühsam, sondern würde es den Teams auch erschweren, mehrere Datenquellen zu korrelieren, um ein Maximum an Kontext über potenzielle Risiken zu erhalten.
Wenn Ingenieure beispielsweise nur das Ereignisprotokoll einer Anwendung betrachten, ist es schwer festzustellen, ob ein plötzlicher Anstieg der Anfragen an die Anwendung ein Anzeichen für einen DDoS-Angriff sein könnte oder ob es sich um einen natürlichen Anstieg des Datenverkehrs handelt. Aber wenn sie das Anwendungsprotokoll mit Netzwerkprotokollen korrelieren könnten, die zeigen, woher der Datenverkehr stammt, wäre es einfacher festzustellen, ob die Anfragen von legitimen Endpunkten stammen oder mit einem Botnet verbunden sind.
Mit einem SIEM können Unternehmen also Sicherheitsbedrohungen schneller und genauer erkennen und darauf reagieren – ein entscheidender Vorteil in einer Welt, in der Cyber-Bedrohungen allgegenwärtig sind. Es kann nur Minuten dauern, bis Angreifer damit beginnen, Daten zu exfiltrieren oder wichtige Dienste zu unterbrechen, sobald sie die Cyberabwehr eines Unternehmens durchbrochen haben.
Andere SIEM-Vorteile
Neben dem Hauptvorteil, Bedrohungen schnell erkennen und darauf reagieren zu können, bieten SIEMs noch weitere Vorteile, darunter:
- Zentralisierte Verwaltung von sicherheitsrelevanten Daten.
- Einfache gemeinsame Nutzung von Sicherheitsdaten mit mehreren Beteiligten, wie Sicherheitsteams, Entwicklern und IT-Ingenieuren.
- Die Fähigkeit, Sicherheitsereignisse und Risiken über einen längeren Zeitraum zu verfolgen, um relevante Trends zu erkennen.
- Effizientes Management von Sicherheitswarnungen zur Minimierung von Fehlalarmen und zur Vermeidung von Warnmüdigkeit (was 88 Prozent der Sicherheitsexperten als Herausforderung ansehen).
- Die Fähigkeit, komplexe Sicherheitsprozesse zu automatisieren, so dass Unternehmen mit begrenzten Cybersecurity-Teams mehr erreichen können – ein wichtiger Vorteil angesichts der Schwierigkeit, angesichts des anhaltenden „Brain Drain“ im Bereich Cybersecurity qualifizierte Sicherheitsexperten einzustellen.
Daher verbessern SIEMs nicht nur die Cybersicherheitsabläufe, sondern helfen auch Unternehmen dabei, die Zusammenarbeit zu maximieren und die Ressourcen bei der Bewältigung von Sicherheitsherausforderungen so effizient wie möglich zu nutzen.
SIEM vs. SOAR und andere Sicherheitstools
Obwohl ein SIEM in der Regel als Grundlage für die Verwaltung von Cybersecurity-Daten und -Bedrohungen dient, ist es in der Regel nicht das einzige Cybersecurity-Tool, auf das sich Unternehmen verlassen.
SIEMs sind nicht in der Lage, Schwachstellen im Software-Quellcode zu erkennen oder riskante Container-Images zu finden. Teams benötigen unterschiedliche, spezifische Tools (nämlich Quellkompositionsanalyse und Container-Image-Scanner). SIEMs überprüfen auch nicht die Konfigurationen von Softwareumgebungen, um Risiken wie unsichere Identitäts- und Zugriffsmanagement-Einstellungen (IAM) für Cloud-Ressourcen zu erkennen. Auch hier sind verschiedene Kategorien von Tools, wie z. B. Lösungen zur Verwaltung der Sicherheitslage in der Cloud, erforderlich.
Durch das Sammeln und Analysieren der Daten, die von verschiedenen anderen Sicherheitstools erzeugt werden, bieten SIEMs jedoch eine zentrale, einheitliche Quelle für den Einblick in Sicherheitsbedrohungen und Risiken. Anders ausgedrückt: SIEMs dienen als Klebstoff, der den Rest der Cybersecurity-Toolchain zusammenhält und ein effizientes und ganzheitliches Management von Risiken ermöglicht.
Bei dieser Aufgabe können SIEMs durch Security Orchestration, Automation and Response oder SOAR-Plattformen ergänzt werden. SOAR-Plattformen sind hervorragend geeignet, um Unternehmen bei der Reaktion auf Cyber-Bedrohungen zu unterstützen, nachdem diese in einem SIEM entdeckt worden sind. Während einige SIEM-Produkte auch Funktionen für das Management von Sicherheitsvorfällen bieten, gehen SOARs in dieser Hinsicht noch weiter, indem sie das Management von Vorfällen zu einem Schwerpunkt machen.
Das heißt, SOAR ist kein Ersatz für SIEM. Beide Arten von Tools zeichnen sich in unterschiedlichen Bereichen aus. Ein SIEM ist ideal für die Aufnahme großer Datenmengen aus unterschiedlichen Quellen und die darauf basierende Erkennung von Bedrohungen, während der Hauptzweck einer SOAR darin besteht, die Reaktionsprozesse zu verwalten, nachdem das SIEM (oder eine andere Quelle) Bedrohungen erkannt hat.
Erfahren Sie mehr über SOAR vs. SIEM.
Wachsende SIEM-Annahme
Obwohl es die SIEM-Kategorie, wie oben erwähnt, bereits seit Mitte der 2000er Jahre gibt, nimmt die Verbreitung von SIEM weiter zu, da immer mehr Unternehmen die Bedeutung der Zentralisierung der Verwaltung von Sicherheitsinformationen und der verwalteten Erkennung über eine einheitliche Plattform erkennen.
Gartner hob hervor, dass der Markt von 3,41 Milliarden US-Dollar im Jahr 2020 auf 4,10 Milliarden US-Dollar im Jahr 2021 gewachsen ist – ein Anstieg von 20 % im Vergleich zu einem Rückgang von 3,9 % im Vorjahr. Sie erklären:
„Der SIEM-Markt reift in rasantem Tempo und ist weiterhin extrem wettbewerbsintensiv. Die Realität dessen, was SIEM noch vor fünf Jahren war, beginnt sich von dem, was SIEM heute ist und bietet, zu lösen.“
Dieses Wachstum wird zum Teil durch die Tatsache angetrieben, dass laut 451 Research bis 2021 immer noch 90 Prozent der Unternehmen angeben, dass sie nicht in der Lage sind, alle Sicherheitswarnungen zu verwalten, die sie täglich erhalten.
Außerdem sind selbst Unternehmen mit einem SIEM oft auf der Suche nach neueren, besseren Sicherheitslösungen. Das liegt zum Teil daran, dass die Fähigkeit, Sicherheitsdaten mit anderen Datentypen (z. B. Protokollen und Metriken zur Anwendungsleistung) zu vereinen – etwas, wofür herkömmliche SIEM-Tools nicht konzipiert wurden – entscheidend geworden ist, um ein Maximum an Kontext über Sicherheitsrisiken zu gewinnen.
Darüber hinaus setzen Unternehmen zunehmend auf SIEM-Lösungen, die offene Technologien und Frameworks wie OpenTelemetry nutzen, um sicherzustellen, dass sie mit Hilfe eines flexiblen, erweiterbaren Frameworks so viele Daten wie möglich sammeln und analysieren können.
Der SIEM-Markt wird weiter wachsen, da die Unternehmen moderne SIEM-Lösungen annehmen, die erweiterbar, flexibel und einfacher zu bedienen sind als herkömmliche Lösungen.
Bewährte Praktiken für die optimale Nutzung von SIEM
Der bloße Einsatz eines SIEM garantiert nicht, dass Ihr Unternehmen einigermaßen sicher vor Bedrohungen ist. Um den vollen Nutzen aus einem SIEM zu ziehen, müssen Sie sich stattdessen für eine moderne SIEM-Plattform entscheiden, deren Funktionen über die einer herkömmlichen SIEM-Lösung hinausgehen, und diese Funktionen dann auch voll ausschöpfen.
Maximierung der Datenaufnahme
Je mehr Daten Sie zur Analyse in Ihr SIEM einspeisen, desto besser können Sie Bedrohungen rechtzeitig erkennen und verstehen, um sie einzudämmen. Leider geben sich jedoch viele Unternehmen mit einer begrenzten Datenaufnahme zufrieden.
Vermeiden Sie dieses Manko, indem Sie eine SIEM-Lösung wählen, die jede Art von Datenquelle oder -format unterstützt, und sicherstellen, dass sie so konfiguriert ist, dass sie so viele Daten wie möglich erfasst und analysiert. Manchmal kann eine einzelne Protokolldatei Ihre einzige Quelle sein, um eine Bedrohung zu erkennen oder um den notwendigen Kontext zu erhalten, der notwendig ist, um bei der Bewertung von Risiken Signale von Rauschen zu unterscheiden. Moderne SIEM-Lösungen bieten eine flexible Preisgestaltung, die das Wachstum der Datenerfassung unterstützt und gleichzeitig die Kosten niedrig hält.
Intelligente Alarmverwaltung
Die Analyse von mehr Daten bedeutet, dass Ihr SIEM mehr Warnmeldungen generiert – und obwohl die Fähigkeit, alle relevanten Bedrohungen zu erkennen, eine gute Sache ist, ist es nicht gut, einen endlosen Strom von unkontextualisierten Warnmeldungen zu verwalten.
Aus diesem Grund ist es ratsam, ein SIEM-Produkt zu nutzen, mit dem Sie Alarme automatisch sortieren können, damit Ihre Analysten wissen, welche Alarme sie priorisieren müssen. Wichtig ist auch die Fähigkeit, Fehlalarme auszuschließen, um das Gesamtvolumen der Alarme zu reduzieren.
Gewinnen Sie Bedrohungskontext
Je mehr Informationen Sie über jede potenzielle Sicherheitsbedrohung haben, desto besser können Sie wissen, welche Warnungen Sie priorisieren und wie Sie darauf reagieren sollten.
Um diesen Kontext zu erhalten, nutzen Sie SIEM-Funktionen wie den Abgleich von Mustern und Bedrohungsdaten in Sumo Logic Cloud SIEM, die dem Sicherheitsanalysten dabei helfen, zu bestimmen, wie wahrscheinlich es ist, dass Angreifer jedes Risiko oder jede Schwachstelle, die ihr SIEM entdeckt, tatsächlich ausnutzen werden. Techniken wie diese ermöglichen es SIEMs, als weit mehr als nur Werkzeuge zur Erkennung von Anomalien zu fungieren. Stattdessen liefern sie verwertbare Informationen darüber, was jede Anomalie möglicherweise bedeutet und wie man am besten darauf reagiert.
Teamübergreifend zusammenarbeiten
In den meisten Unternehmen kann die Verantwortung für die Sicherheit heute nicht mehr allein beim Security Operations Center (SOC) liegen. Es erfordert auch die Mitwirkung von Entwicklern (die Schwachstellen in der Software beheben können) und IT-Teams (die die Risiken durch die Aktualisierung anfälliger Anwendungen oder die Isolierung kompromittierter Ressourcen mindern können). Selbst technisch nicht versierte Benutzer müssen Sicherheitswarnungen und Workflows kennen, um fundierte Entscheidungen über Bedrohungen zu treffen, die die Systeme betreffen, von denen sie abhängig sind.
Diese Art der Zusammenarbeit zwischen dem Sicherheitsteam und anderen Geschäftseinheiten wird möglich, wenn Unternehmen ihr SIEM als gemeinsame Plattform und Tool zur Förderung der Zusammenarbeit nutzen. Nutzen Sie dazu Ihr SIEM, um Sicherheitsdaten für alle Beteiligten verfügbar zu machen (d. h. halten Sie sie nicht in einem Silo). Die Integration dieses Tools mit anderen Überwachungs- und Beobachtungstools für eine einheitliche Datentransparenz im gesamten Unternehmen bringt die Zusammenarbeit noch weiter voran.
Schlussfolgerung
Als zentrale Lösung zur Erkennung von Sicherheitsrisiken und Schwachstellen bildet ein SIEM die Grundlage für die Sicherheitsabläufe moderner Unternehmen. Es ist zwar nur eine Komponente Ihrer Cybersecurity-Toolchain, aber die wichtigste, um die Daten, die Ihre IT-Ressourcen generieren, in verwertbare Erkenntnisse über Bedrohungen zu verwandeln.
Die Rolle, die SIEMs spielen, wird nur noch wichtiger werden, da die Herausforderungen im Bereich der Cybersicherheit immer größer und komplexer werden. Dies zwingt Unternehmen dazu, durch Zentralisierung, Zusammenarbeit und Anreicherungsfunktionen zu reagieren, die nur SIEMs bieten können.
Sumo Logic Cloud SIEM
Sumo Logic Cloud SIEM wird über eine moderne SaaS-Plattform bereitgestellt, die eine einheitliche Sichtbarkeit in jeder Art von Umgebung ermöglicht – von On-Premises und öffentlichen Clouds bis hin zu Hybrid- und Multi-Cloud-Architekturen. Mit integrierter Alarmtriage und -verwaltung, Funktionen zur Bedrohungsjagd, automatisierter Threat Intelligence und Funktionen für die Zusammenarbeit, die darauf ausgelegt sind, Sicherheit zu einer kollektiven, unternehmensweit geteilten Verantwortung zu machen, Sumo Logic Cloud SIEM hilft Unternehmen, Bedrohungen immer einen Schritt voraus zu sein, unabhängig davon, welche Arten von IT-Ressourcen sie betreiben und wo sie diese einsetzen.
