SIEM: Security Information & Event Management

Unternehmen sehen sich durch eine zunehmende Digitalisierung, hybride Arbeitsmodelle und eine Vielfalt an Endgeräten bekannten und unbekannten Cybergefahren ausgesetzt. Umso wichtiger sind Sicherheitskonzepte wie SIEM (Security Information & Event Management). Durch die Protokollierung, Analyse und Aufbereitung von System- und Netzwerkdaten lassen sich Sicherheitsbedrohungen schnell identifizieren, zurückverfolgen und abwehren.

Was ist SIEM?

Hinter der Abkürzung SIEM steckt das Security Information & Event Management, das Unternehmen mehr Transparenz und Kontrolle über die eigenen Daten gibt. Über ein einheitliches Sicherheits- und Schutzkonzept lassen sich verdächtige Sicherheitsvorfälle, Angriffstrends und Bedrohungsmuster frühzeitig erkennen. Möglich machen dies Tools zur Protokollierung und Analyse verschiedener Ereignis- und Prozessdaten aus allen Schichten des Unternehmens – angefangen bei der Endgeräte-Ebene über Firewalls und IPS (Intrusion Prevention Systems) bis hin zur Netzwerk-, Cloud- und Server-Ebene.

SIEM verbindet somit SIM (Security Information Management) und SEM (Security Event Management), um in Echtzeit Sicherheitsinformationen und Sicherheitsvorfälle kontextbezogen und in Korrelation auszuwerten, Warnmeldungen zu erzeugen und Sicherheitslösungen zu veranlassen. Potenzielle Schwachstellen und Sicherheitslücken lassen sich frühzeitig identifizieren und schließen sowie Angriffsversuche schnell stoppen. Geprägt wurde der Begriff SIEM bereits 2005 durch Gartner. Wichtige Bestandteile moderner SIEM-Lösungen umfassen u. a. UBA (User Behavior Analytics), UEBA (User and Entity Behaviour Analytics) und SOAR (Security Orchestration, Automation and Response).

Warum ist Security Information & Event Management wichtig?

Die IT-Infrastruktur von Unternehmen setzt sich heute nicht mehr nur aus einem Server und ein paar Endgeräten zusammen. Bereits mittelständische Unternehmen nutzen mehr oder weniger komplexe Firmennetzwerke, die sich aus einer Vielzahl an internetfähigen Endgeräten, einer eigenen Software-Landschaft sowie mehreren Servern und Cloud-Diensten zusammensetzt. Hinzu kommen neue Arbeitsmodelle wie Homeoffice oder Bring Your Own Device (BYOD).

Je komplexer die IT-Infrastruktur, desto mehr Schwachstellen können bei einer ungenügenden Cybersicherheit auftreten. Immer mehr Unternehmen setzen daher auf einen ganzheitlich gedachten Schutz vor Ransomware, Spyware und Scareware sowie vor neuartigen Formen von Cyberangriffen und Zero-Day-Exploits.

Die Bedeutung von Sicherheitslösungen wie SIEM wird für Unternehmen nicht nur durch akute Bedrohungslagen immer größer. Strenge Datenschutzvorgaben durch das Bundesdatenschutzgesetz, die DSGVO oder Zertifizierungen wie BASE II, ISO oder SOX setzen inzwischen sogar ein Daten- und Systemschutzkonzept voraus. Dieses lässt sich oft nur durch SIEM oder ähnliche Strategien wie EDR und XDR realisieren.

Indem SIEM sicherheitsrelevante Protokoll- und Berichtdaten in einer zentralen Plattform zusammengeführt, auswertet und in Verbindung setzt, lassen sich Daten aus allen Anwendungen und Netzwerkebenen sicherheitsorientiert analysieren. Je früher Sie auf diese Weise Bedrohungen oder Sicherheitslecks erkennen, desto schneller können Sie Risiken für Ihre Geschäftsabläufe reduzieren und Unternehmensdaten schützen. SIEM bietet somit eine deutliche Effizienzsteigerung, wenn es um die Einhaltung von Compliance und den Echtzeitschutz vor Bedrohungen wie Ransomware, Malware oder Datendiebstahl geht.

Wie funktioniert SIEM?

Geprägt wurde das Akronym „SIEM“ 2005 von Amrit Williams und Mark Nicolett von Gartner. Gemäß der offiziellen Definition des National Institute of Standards and Technology handelt es sich um eine Anwendung, die Sicherheitsdaten von einzelnen Komponenten eines Informationssystems sammelt und einer zentralen Benutzeroberfläche übersichtlich und handlungsorientiert präsentiert. Hierin steckt bereits die Funktionsweise, denn im Gegensatz zur Firewall, die akute Cyberbedrohungen abwehrt, setzt SIEM auf nachhaltiges, vorausschauendes Sammeln und Analysieren von Daten, die auch verborgene Angriffe oder Bedrohungstrends aufzeigen.

Ein SIEM-System lässt sich On Premises, als Cloud-Lösung oder als hybride Variante mit lokalen und per Cloud aufgerüsteten Komponenten umsetzen. Der Prozess von der Datensammlung bis zur Sicherheitswarnung setzt sich aus den folgenden vier Stufen zusammen:

Stufe 1: Daten aus vielfältigen Quellen des Systems sammeln Die SIEM-Lösung erfasst und sammelt Daten aus verschiedenen Ebenen, Schichten und Komponenten Ihrer IT-Infrastruktur. Dazu zählen Server, Router, Firewalls, Virenprogramme, Switches, IPs und IDS sowie Endgeräte durch die Kombination mit Endpoint Security oder XDR (Extended Detection and Response). Hierzu kommen angeschlossene Protokoll-, Berichts- und Sicherheitssysteme zum Einsatz.

Stufe 2: Gesammelte Daten aggregieren Die gesammelten Daten werden übersichtlich und transparent in der zentralen Benutzeroberfläche zusammengefasst. Durch die Sammlung und Aufbereitung über ein Dashboard entfällt die zeitaufwendige Analyse verschiedener Protokolle und Berichte einzelner Anwendungen.

Stufe 3: Aggregierte Daten analysieren und korrelieren Die Anwendung analysiert die gesammelten und zusammengefassten Daten hinsichtlich bekannter Viren- und Malware-Signaturen, verdächtiger Vorfälle wie Anmeldungen aus VPN-Netzwerken oder falschen Anmeldedaten. Auch höhere Auslastungen, verdächtige Anhänge oder auffällige Aktivitäten werden sicherheitsorientiert dargestellt. Indem die Anwendung Daten zueinander in Verbindung setzt, kategorisiert, korreliert und klassifiziert, lassen sich die Wege von Infiltrationen schnell rückverfolgen und isolieren und Bedrohungen abwehren oder eindämmen. Durch die Kategorisierung in Sicherheitsstufen kann zudem schnell auf akute oder verborgene Angriffe reagiert werden, während sich unverdächtige Anomalien ausschließen lassen.

Stufe 4: Bedrohungen, Schwachstellen oder Sicherheitsverletzungen erkennen Kommt es zur Identifizierung einer Bedrohungslage, sorgen automatisierte Warnungen für eine verkürzte Reaktionszeit und eine Bedrohungsabwehr in Echtzeit. Statt lange nach der Gefahrenquelle oder Anomalie zu suchen, machen Sie diese anhand der Warnung sofort ausfindig und können sie beispielsweise in Quarantäne verschieben. Darüber hinaus lassen sich zurückliegende Bedrohungslagen rekonstruieren, um Sicherheitsprozesse zu optimieren.

In Verbindung mit einer XDR-Lösung mit eingebundener KI lassen sich Abwehrmechanismen wie Quarantäne oder die Blockierung von Endgeräten bzw. IPs durch vordefinierte, automatisierte Workflows besonders schnell umsetzen. Echtzeit-Bedrohungsfeeds, die stets aktualisierte Signaturen und Sicherheitsdaten einspeisen, erlauben Ihnen, auch neue Arten von Angriffen und Bedrohungen im Anfangsstadium erkennen.

Die wichtigsten SIEM-Elemente im Überblick

Im Rahmen einer SIEM-Lösung kommen verschiedene, aufeinander abgestimmte Komponenten zum Einsatz, die für eine lückenlose Datensammlung und -auswertung sorgen. Dazu zählen:

Alle Vorteile von Security Information & Event Management (SIEM)

Aufgrund der zunehmenden Cyberrisiken für Unternehmen genügen einfache Firewalls oder Virenprogramme meist nicht mehr, um Netzwerke und Systeme zu schützen. Vor allem im Fall hybrider Strukturen mit Multiclouds und Hybrid-Clouds erfordert es anspruchsvolle Lösungen wie EDR, XDR und SIEM oder im Idealfall eine Kombination aus zwei oder mehr Diensten. Nur so lassen sich Endgeräte und Cloud-Dienste sicher verwenden und Bedrohungen frühzeitig erkennen.

Zu den Vorteilen, die SIEM Ihnen bieten kann, zählen:

Echtzeit-Bedrohungserkennung

Durch den ganzheitlichen Ansatz in Form einer systemweiten Datensammlung und -auswertung lassen sich Bedrohungslagen schnell identifizieren und unterbinden. Durch die verkürzte mittlere Erkennungszeit (MTTD) und eine verkürzte mittlere Reaktionszeit (MTTR) lassen sich somit sensible Daten und geschäftskritische Prozesse zuverlässig schützen.

Einhaltung von Compliance- und Datenschutzvorgaben

SIEM-Systeme sorgen durch Protokollierung und Bedrohungsanalysen für eine Compliance-konforme IT-Infrastruktur. Diese bietet alle erforderlichen Sicherheits- und Berichtsstandards für die Speicherung und revisionssichere Verarbeitung sensibler Daten.

Zeit- und kostensparendes Sicherheitskonzept

Indem SIEM alle sicherheitsrelevanten Daten zentral und übersichtlich in einer Benutzeroberfläche darstellt, visualisiert, analysiert und interpretiert, erhöht sich die Effizienz Ihrer IT-Sicherheit. Das senkt den Zeit- und Kostenaufwand, der sonst mit gängigen manuellen Sicherheitsmaßnahmen einhergeht. Insbesondere die automatisierte und je nach System sogar KI-gestützte Analyse und Korrelation von Daten beschleunigt die Bedrohungsabwehr. Auch hohe Kosten, die mit der Reparatur befallener Systeme oder mit dem Entfernen von Malware einhergehen, lassen sich durch vorbeugende SIEM-Lösungen vermeiden.

Die Möglichkeit, SIEM als SaaS (Software-as-a-Service) oder über Managed Security Services zu nutzen, erlaubt es auch kleineren Unternehmen mit beschränkten Mitteln oder ohne eigene IT-Sicherheit, ihr Firmennetzwerk zuverlässig zu schützen.

Automatisierung mit künstlicher Intelligenz und Machine Learning

Durch SIEM-Systeme ist ein noch höheres Maß an Automatisierung und intelligenter Gefahrenabwehr durch künstliche Intelligenz und Machine Learning erreichbar. Beispielsweise können Sie SIEM-Lösungen auch in SOAR-Systemen (Security Orchestration, Automation and Response) oder in Verbindung mit einer vorhandenen Endpoint Security oder einer XDR-Lösung nutzen.