20 Jahre Security Information and Event Management

Eine kurze Geschichte von SIEM

| Autor / Redakteur: Stephen Gailey / Peter Schmitz

Ein SIEM ist eine Security-Software, die Sicherheitswarnungen von Endgeräten in einem Netzwerk in Echtzeit analysiert. Aber wie fing das alles an?
Ein SIEM ist eine Security-Software, die Sicherheitswarnungen von Endgeräten in einem Netzwerk in Echtzeit analysiert. Aber wie fing das alles an? (© maslakhatul - stock.adobe.com)

Security Information and Event Management (SIEM) hat sich von einer einst neuen, revolutionären Sicherheitstechnologie zur aktuellen Benchmark der Sicherheitsbranche entwickelt. Stephen Gailey berichtet aus erster Hand über seine fast 20 Jahre Erfahrung mit mehreren Generationen von SIEM.

Was ist SIEM eigentlich? Prinzipiell ist SIEM eine Security-Software, die Sicherheitswarnungen und Daten, die von Endgeräten in einem Netzwerk erzeugt werden, in Echtzeit analysiert. Unternehmen verwenden SIEM-Tools, um Sicherheitsvorfälle zu identifizieren, Sicherheitsdaten zu protokollieren, Vorfallsreaktionen zu verwalten und Berichte zur Einhaltung von Vorschriften zu erstellen. SIEM kombiniert Security Information Management (SIM), ein System der ersten Generation, das Langzeitspeicherung, Analyse und Berichte von Protokolldaten verwendet, und Security Event Management (SEM), ein System der zweiten Generation, das die Korrelation von Ereignissen, Benachrichtigungen, Echtzeitüberwachung und Konsolenansichten beinhaltet. Das Akronym SIEM wird "sim" mit einem stillen e ausgesprochen. Die Grundprinzipien eines jeden SIEM-Systems sind die Zusammenführung relevanter Daten aus verschiedenen Quellen, die Identifizierung von Norm-Abweichungen und das Ergreifen geeigneter Maßnahmen. Die ersten kommerziellen-SIEM-Produkte wurden vor knapp zwanzig Jahren, etwa zu Beginn des Jahrhunderts, eingeführt. Um zu verstehen, wie sich die Technologie zum neuen Benchmark der Sicherheitsbranche entwickelt hat, lohnt es sich, einen Blick zurück auf ihre Anfänge zu werfen.

Die beliebtesten SIEM-Anbieter 2019

IT-Awards 2019

Die beliebtesten SIEM-Anbieter 2019

27.11.19 - Der Einsatz von Security-Information-and-Event-Management-Systemen (SIEM) ist für die Security Operation Center (SOCs) von Unternehmen ein wichtiger Faktor. Sie sollen nicht nur vor Bedrohungen schützen, sondern auch das Security-Team bei der täglichen Arbeit entlasten. Dabei werden moderne Technologien künftig eine wichtige Rolle spielen. lesen

Die Anfänge von SIEM

Meine persönliche Einführung mit SIEM begann um 1999, als ich und mein Team bei der Deutschen Bank versuchten, ein eigenes SIEM-ähnliches Tool von Grund auf selbst zu entwickeln – mit mäßigem Erfolg, versteht sich. Einige Jahre später, im Jahr 2006, fand ich mich dann bei Barclays Capital wieder. Diesmal waren wir mit einem üppigen Budget ausgestattet, das es uns erlaubte, die seinerzeit weltweit größte SIEM-Installation aufzubauen. Allerdings gab es damals nur sehr wenige Anbieter, und wir hatten natürlich zu Beginn keine Erfahrung, welche Faktoren für unseren Zweck wichtig waren. Unsere Intuition sagte uns jedoch, dass wir unsere Wahl auf die Fähigkeit einer SIEM-Plattform stützen sollten, effektiv zu skalieren. Die Auswahl einer Lösung bei Barclays Capital im Jahr 2006 läutete meine Erfahrung mit der ersten Generation von SIEM ein.

SIEM 1.0 - circa um 2006

Mit der Einführung der ersten Generation von SIEM-Plattformen begann nichts weniger als eine komplett neue Ära in der Datensicherheitsbranche. Erstmals kombinierten Hersteller Security Event Management mit Security Information Management. Diese frühen SIEM-1.0-Plattformen boten zwar einen revolutionären Ansatz für die Sicherheit, hatten jedoch eine Achillesferse: sie konnten nur vertikal skaliert werden, was sich alsbald als limitierender Faktor erwies.

Bei Barclays Capital überarbeiteten wir das Design und die Plattform unserer SIEM-Lösung mehrmals, bevor wir merkten, dass wir aufgrund der limitierten Skalierung unsere Ziele nicht erreichen würden. Wir hatten etwas mehr als 650 Millionen Ereignisse pro Tag, was den damals größten einzelnen SIEM-Einsatz der Welt darstellte. Das mag im Vergleich zu heute klein klingen, aber wir waren damals ziemlich stolz darauf.

Aber die Skalierbarkeit war nicht der einzige limitierende Faktor. Das Erhalten von Daten in und aus dem SIEM war eine große Herausforderung. Dashboards und Berichte waren rudimentär und Warnmeldungen von sehr einfacher Natur, mit sehr wenig Feed-Korrelationen oder Möglichkeiten, sie mit weiteren Informationen anzureichern.

Die Zeit der ersten Generation von SIEM endete gegen 2011, als immer mehr Hardware für den Umgang mit Workloads benötigt wurde. Diese Hardware-gebunde Skalierung ging circa zu dieser Zeit zu Ende, als SIEM schließlich I/O-gebunden wurde.

SIEM 2.0 - circa um 2011

Die zweite Generation von SIEM stellte eine deutliche Verbesserung dar, war aber immer noch fehlerhaft. Der Hauptunterschied zu SIEM 1.0 lag, wenig überraschend, in der Art und Weise, wie es skaliert wurde. SIEM 2.0 verzichtete auf eine zentralisierte Datenbank und verwendete stattdessen große Datenmengen für die horizontale Skalierung. Bei Barclays erlaubte uns dies, die bisherige Barriere für Ereignisse endlich zu durchbrechen, und schon bald verarbeiteten wir bequem 2,5 Milliarden Ereignisse pro Tag. Darüber hinaus bedeutete die horizontale Skalierung, dass wir dem System Hardware mit niedrigerer Spezifikation hinzufügen konnten. So war es ohne Einschränkungen skalierbar und die doppelte Anzahl von Servern bedeutete etwa die Verdoppelung der Daten oder die doppelte Leistung.

SIEM 2.0 ermöglichte zudem ein besseres Reporting und Dashboards sowie die Möglichkeit, erstmals auch historische Daten abzufragen. Mit SIEM 1.0 waren lange Zeiten für Datenspeicherung irrelevant, da die Technologie die Daten effektiv ohnehin nicht länger als ein paar Wochen abfragen konnte. Die größere Datenarchitektur von SIEM 2.0 ermöglichte es uns, Daten über viel längere Zeiträume abzufragen und Antworten in angemessener Zeit zurückzubekommen.

Wenn jedoch die Skalierbarkeit das größte Geschenk von SIEM 2.0 war, wurde sie schlussendlich zu ihrem größten Fluch. Nicht nur, weil sie nicht gut funktionierte, sondern weil das Problem einfach weiter unten in die operative Pipeline verlagert wurde. Vor SIEM waren die Sicherheitsexperten im Wesentlichen blind und konnten nicht sehen, was in ihren eigenen IT-Umgebungen geschah. Die erste Generation von SIEM gab ihnen den Blick frei, aber die zweite Generation nahm ihn wieder weg, indem sie mehr Daten präsentierte, als es möglich war zu verarbeiten. SIEM 2.0 scheiterte auch an Innovationen in Bezug auf die Warnaspekte von SIEM, so dass die Teams auf vorkonfigurierte Warnungen angewiesen waren, die bestenfalls mit nur wenigen Elementen korrelierten.

Nicht alle SIEM-Lösungen sind effizient

SIEM Productivity Study

Nicht alle SIEM-Lösungen sind effizient

16.10.19 - Eine aktuelle Befragung des Ponemon-Instituts und Exabeam von 596 Nutzern von SIEM-Lösungen gibt Aufschlüsse darüber, wie effizient SIEM-Lösungen (Security Information and Event Management) in Unternehmen sind. Ein bemerkenswertes Ergebnis: SOCs mit ineffizienten SIEM-Tools verschwenden etwa 25 Prozent ihrer Zeit damit Fehlalarme zu untersuchen. lesen

SIEM 3.0 - ca. 2015 bis heute

Die dritte Generation von SIEM bedeutet eher radikale Revolution statt Evolution. Die Revolution bestand vornehmlich darin, dass erstmals Algorithmen des Maschinellen Lernens Einzug hielten und die Fähigkeiten für Analytik radikal verbesserten. Der große Unterschied von SIEM 3.0 war der Schritt weg von vorkonfigurierten Alarmen hin zu einem risikobasierten Ansatz. Warnmeldungen waren vor der Ankunft von SIEM 3.0 zwar bereits wertvoll, basierten jedoch nur auf einfachen, vorab bekannten Fakten. Im modernen Sicherheitsmanagement werden Teams heute jedoch auch mit bisher unbekannten Zero-Day-Bedrohungen konfrontiert. Die neue, analysebasierte Sicherheitsüberwachung von SIEM 3.0 wendet statistische Techniken auf Datenmengen an, um Betriebsmodelle zu erstellen, die die Grundlage für jeden einzelnen Benutzer und jede einzelne Einheit in einer Umgebung bilden. Diese Technik wird als User- und Entity-Verhaltensanalyse (UEBA) bezeichnet. In einem UEBA-System ermöglicht eine Baseline die Festlegung eines „normalen Verhaltens" in einer Umgebung. Alle zukünftigen Abweichungen von dieser Basislinie führen dann zu Risiken für Benutzer und Systeme. So können sich die Sicherheitsteams auf diese tatsächlichen Risiken konzentrieren.

Verlassen sich Sicherheitsteams weiterhin auf alarmbasierte SIEM-2.0-Technologie, sieht die Realität so aus, dass die Sicherheitsanalysten kaum mehr tun, als False Positives abzuarbeiten. Dies liegt an der Tatsache, dass Risiken mit dieser unvollendeten Technologie meist erst erkannt werden, wenn die Kill-Chain bereits abgeschlossen ist. In einer Welt, in der die Gefahren ständig steigen und mit zunehmender Größe sogar die Existenz ganzer Unternehmen gefährden, kann eine solch ineffektive Lösung nicht mehr mit gutem Gewissen eingesetzt werden.

Fazit

Die neueste Generation von SIEM, die auf Maschinelles Lernen und einen risikobasierten Ansatz mit einer User- und Entity-Verhaltensanalyse setzt, stellt derzeit den Goldstandard für Sicherheitslösungen im Unternehmen dar. Unternehmen, die noch immer auf ältere Lösungen der zweiten Generation setzen, sollten sich mit den damit verbundenen Gefahren auseinandersetzen und sich die Möglichkeiten der neuesten Generation von SIEM genau ansehen. Wer weiß, was SIEM 4.0 bringen wird, aber bis zu seiner Ankunft ist SIEM 3.0 zweifellos die Basistechnologie eines modernen effektiven Security Operations Center (SOC).

Über den Autor: Stephen Gailey ist Head of Solutions Architecture bei Exabeam.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46299578 / Monitoring und KI)