Fragen Sie zehn Sicherheitsingenieure, was AU-6 erfordert, und acht von ihnen werden die PDF-Datei aufrufen, anstatt Ihnen einfach zu antworten. Das ist keine Kritik an den Ingenieuren. Es ist ein Symptom dafür, wie die meisten Teams NIST SP 800-53 behandeln: als ein Dokument, auf das man während eines Audits zurückgreift, und nicht als eine Reihe von Fragen, die Ihre Protokollierungsarchitektur bereits beantworten können sollte.
Genau an dieser Stelle geraten Audits ins Wanken. Die Kontrollen wurden erfüllt, aber niemand kann die Nachweise schnell genug vorlegen, um dies zu belegen.
Betrachten Sie 800-53 eher als Fragenkatalog denn als Checkliste
Streicht man die Kontrollnummern, lassen sich die meisten für die Protokollierung relevanten Kontrollfamilien in 800-53 auf eine Handvoll leicht verständlicher Fragen reduzieren, die ein Prüfer ohnehin stellen wird:
- Erfassen Sie tatsächlich die relevanten Ereignisse mit genügend Details, um feststellen zu können, wer was getan hat? (AU-2, AU-3)
- Kann jemand diese Aktivitäten überprüfen und darauf reagieren, anstatt sie nur zu speichern? (AU-6)
- Werden die Aufzeichnungen noch existieren, wenn der Prüfer oder der Incident Responder sie in sechs Monaten anfordert? (AU-11)
- Haben Sie einen praxistauglichen Prozess, um Ereignisse zu erkennen, zu bearbeiten und zu melden? (IR-4, IR-5, IR-6)
- Ist die Überwachung kontinuierlich oder findet sie nur statt, wenn jemand daran denkt, nachzusehen? (CA-7, SI-4)
All diese Fragen sind Punkte, die eine ausgereifte Protokollierungs- und SIEM-Praxis bereits abdecken sollte. Die meisten Umgebungen setzen einzelne Aspekte gut um, scheitern aber an den Verbindungen dazwischen.
Wo Protokollplattformen üblicherweise scheitern
Der häufigste Fehler besteht nicht darin, dass Daten fehlen. Es handelt sich um vorhandene Daten, die jedoch die eigentliche Frage nicht beantworten können. Sie sammeln Protokolle, weil es eine Compliance-Checkliste vorschreibt, aber wenn niemand das Akteursfeld über zehn verschiedene Quelltypen hinweg normalisiert, wird die Frage „Wer hat das getan?“ zu einem Rechercheprojekt statt zu einer einfachen Abfrage.
Die Aufbewahrungsdauer richtet sich nach den Speicherkosten und nicht nach den AU-11-Anforderungen, sodass der Datensatz, der am wichtigsten ist, bereits abgelaufen ist. Und die Erkennung (SI-4) und die Reaktion auf Vorfälle (IR-4) laufen häufig in separaten Tools ohne verbindende Protokollierung ab, sodass der Prüfpfad genau dort eine Lücke aufweist, wo die nächste Frage des Prüfers ansetzt: Was haben Sie dagegen unternommen?
Eine Zuordnung von Kontrollen zu Fähigkeiten, die tatsächlich spezifisch ist
| Kontrollfamilie | Was sie erfordert | Was sie tatsächlich erfüllt |
|---|---|---|
| AU-2 / AU-3 (Ereignisprotokollierung, Inhalt der Datensätze) | Erfassen Sie sicherheitsrelevante Ereignisse so detailliert, dass Akteur, Aktion und Ergebnis identifiziert werden können | Zentrale Datenerfassung mit konsistenten, strukturierten Feldern über Cloud-, On-Premises-, Identity- und SaaS-Quellen hinweg – nicht nur „irgendwo existieren Protokolle“ |
| AU-6 (Prüfung, Analyse, Berichterstattung) | Jemand prüft die Aktivitäten und reagiert darauf in einem definierten Rhythmus | Cloud SIEM Insights mit dem Summary Agent, der erklärt, was jedes einzelne Insight ausgelöst hat, sodass Überprüfung nicht bedeutet, durch Rohereignisse zu scrollen |
| AU-11 (Aufbewahrung von Prüfdatensätzen) | Aufzeichnungen bleiben lange genug erhalten, um sowohl für Audits als auch für Untersuchungen relevant zu sein | Konfigurierbare Aufbewahrungsdauer, die an Ihr tatsächliches Compliance-Fenster und nicht an Ihr Speicherbudget gebunden ist |
| IR-4 / IR-5 / IR-6 (Vorfallsbearbeitung, Überwachung, Berichterstattung) | Ein dokumentierter, wiederholbarer Prozess zur Erkennung, Bearbeitung und Meldung von Vorfällen | Cloud SIEM-Playbooks, die die Anreicherung und Benachrichtigung automatisieren, sowie der Evidenzpfad des SOC Analyst Agent als integrierte Aufzeichnung darüber, wie ein Vorfall tatsächlich behandelt wurde |
| CA-7 / SI-4 (kontinuierliche Überwachung, Systemüberwachung) | Überwachung, die kontinuierlich stattfindet – nicht nach einem Zeitplan, den jemand vergisst | Echtzeit-Dashboards und -Erkennung statt einer vierteljährlichen Protokollprüfung, die jemand in der Woche vor dem Audit durchführt |
Die Erstellung von Prüfberichten ist ein narratives Problem, kein Datenproblem
Prüfer wollen keine Rohprotokolle. Sie wollen eine Geschichte mit Belegen: was geschah, wie es entdeckt wurde, wer gehandelt hat und wann. Das ist ein anderes Ergebnis als „Hier ist unser SIEM, viel Glück.“
Das gleiche Transparenzprinzip, das hinter White-Box-KI steht, dient hier zugleich als Compliance-Infrastruktur. Wenn der SOC Analyst Agent ein Insight untersucht, erstellt er eine Beweiskette, die zeigt, was er geprüft hat, warum und zu welchem Schluss er gekommen ist. Diese Beweiskette liefert Ihrem Analysten ein Urteil, dem er vertrauen kann, und sie bietet Ihnen eine vorgefertigte Darstellung in genau der Form, die eine IR-4- oder IR-6-Auditfeststellung erfordert. Sie rekonstruieren die Geschichte nicht nachträglich anhand von Zeitstempeln aus fünf verschiedenen Tools. Sie liegt bereits vor.
Die Audit- und Compliance-Funktionen von Sumo Logic übertragen diesen Ansatz auf den laufenden Betrieb: sofort einsatzbereite Dashboards und kontinuierliches Monitoring, entwickelt für die NIST-, CMMC- und ISO 27001-Bereitschaft, betrieben auf einer Plattform, die bereits über die Attestierungen FedRAMP Moderate, SOC 2 Type II, HIPAA und PCI DSS verfügt. Das Ziel ist nicht ein neues Dashboard, um ein Kästchen abzuhaken. Ziel ist, dass Sie nicht jedes Mal in Hektik verfallen müssen, wenn Sie jemand auffordert, das zu belegen, was Sie gerade gesagt haben.
Letztes Wort
Compliance-Frameworks kümmern sich nicht darum, wie elegant Ihre Architektur ist. Ihnen ist wichtig, ob Sie das Artefakt auf Anfrage in dem vom Prüfer gewünschten Format vorlegen können – ohne zuvor zwei Wochen lang im Krisenmodus arbeiten zu müssen. Berücksichtigen Sie das von Anfang an, und NIST SP 800-53 hört auf, ein gefürchtetes PDF zu sein, und wird zu einer Beschreibung dessen, was Ihr Protokollierungsprogramm ohnehin schon leisten sollte.
Möchten Sie sehen, wie kontinuierliche NIST 800-53-Bereitschaft in der Praxis aussieht, statt nur in einer Tabellenkalkulation? Fordern Sie eine Demo der Audit- und Compliance-Lösung von Sumo Logic an.
