20 Jahre Security Information and Event Management Eine kurze Geschichte von SIEM

Security Information and Event Management (SIEM) hat sich von einer einst neuen, revolutionären Sicherheitstechnologie zur aktuellen Benchmark der Sicherheitsbranche entwickelt. Stephen Gailey berichtet aus erster Hand über seine fast 20 Jahre Erfahrung mit mehreren Generationen von SIEM.

Anbieter zum Thema

Arvato Systems

TXOne Networks

Keeper Security EMEA Ltd.

Exabeam

Was ist SIEM eigentlich? Prinzipiell ist SIEM eine Security-Software, die Sicherheitswarnungen und Daten, die von Endgeräten in einem Netzwerk erzeugt werden, in Echtzeit analysiert. Unternehmen verwenden SIEM-Tools, um Sicherheitsvorfälle zu identifizieren, Sicherheitsdaten zu protokollieren, Vorfallsreaktionen zu verwalten und Berichte zur Einhaltung von Vorschriften zu erstellen. SIEM kombiniert Security Information Management (SIM), ein System der ersten Generation, das Langzeitspeicherung, Analyse und Berichte von Protokolldaten verwendet, und Security Event Management (SEM), ein System der zweiten Generation, das die Korrelation von Ereignissen, Benachrichtigungen, Echtzeitüberwachung und Konsolenansichten beinhaltet. Das Akronym SIEM wird "sim" mit einem stillen e ausgesprochen. Die Grundprinzipien eines jeden SIEM-Systems sind die Zusammenführung relevanter Daten aus verschiedenen Quellen, die Identifizierung von Norm-Abweichungen und das Ergreifen geeigneter Maßnahmen. Die ersten kommerziellen-SIEM-Produkte wurden vor knapp zwanzig Jahren, etwa zu Beginn des Jahrhunderts, eingeführt. Um zu verstehen, wie sich die Technologie zum neuen Benchmark der Sicherheitsbranche entwickelt hat, lohnt es sich, einen Blick zurück auf ihre Anfänge zu werfen.

IT-Awards 2019

Die beliebtesten SIEM-Anbieter 2019

Die Anfänge von SIEM

Meine persönliche Einführung mit SIEM begann um 1999, als ich und mein Team bei der Deutschen Bank versuchten, ein eigenes SIEM-ähnliches Tool von Grund auf selbst zu entwickeln – mit mäßigem Erfolg, versteht sich. Einige Jahre später, im Jahr 2006, fand ich mich dann bei Barclays Capital wieder. Diesmal waren wir mit einem üppigen Budget ausgestattet, das es uns erlaubte, die seinerzeit weltweit größte SIEM-Installation aufzubauen. Allerdings gab es damals nur sehr wenige Anbieter, und wir hatten natürlich zu Beginn keine Erfahrung, welche Faktoren für unseren Zweck wichtig waren. Unsere Intuition sagte uns jedoch, dass wir unsere Wahl auf die Fähigkeit einer SIEM-Plattform stützen sollten, effektiv zu skalieren. Die Auswahl einer Lösung bei Barclays Capital im Jahr 2006 läutete meine Erfahrung mit der ersten Generation von SIEM ein.

SIEM 1.0 - circa um 2006

Mit der Einführung der ersten Generation von SIEM-Plattformen begann nichts weniger als eine komplett neue Ära in der Datensicherheitsbranche. Erstmals kombinierten Hersteller Security Event Management mit Security Information Management. Diese frühen SIEM-1.0-Plattformen boten zwar einen revolutionären Ansatz für die Sicherheit, hatten jedoch eine Achillesferse: sie konnten nur vertikal skaliert werden, was sich alsbald als limitierender Faktor erwies.

Bei Barclays Capital überarbeiteten wir das Design und die Plattform unserer SIEM-Lösung mehrmals, bevor wir merkten, dass wir aufgrund der limitierten Skalierung unsere Ziele nicht erreichen würden. Wir hatten etwas mehr als 650 Millionen Ereignisse pro Tag, was den damals größten einzelnen SIEM-Einsatz der Welt darstellte. Das mag im Vergleich zu heute klein klingen, aber wir waren damals ziemlich stolz darauf.

Aber die Skalierbarkeit war nicht der einzige limitierende Faktor. Das Erhalten von Daten in und aus dem SIEM war eine große Herausforderung. Dashboards und Berichte waren rudimentär und Warnmeldungen von sehr einfacher Natur, mit sehr wenig Feed-Korrelationen oder Möglichkeiten, sie mit weiteren Informationen anzureichern.

Die Zeit der ersten Generation von SIEM endete gegen 2011, als immer mehr Hardware für den Umgang mit Workloads benötigt wurde. Diese Hardware-gebunde Skalierung ging circa zu dieser Zeit zu Ende, als SIEM schließlich I/O-gebunden wurde.

SIEM 2.0 - circa um 2011

Die zweite Generation von SIEM stellte eine deutliche Verbesserung dar, war aber immer noch fehlerhaft. Der Hauptunterschied zu SIEM 1.0 lag, wenig überraschend, in der Art und Weise, wie es skaliert wurde. SIEM 2.0 verzichtete auf eine zentralisierte Datenbank und verwendete stattdessen große Datenmengen für die horizontale Skalierung. Bei Barclays erlaubte uns dies, die bisherige Barriere für Ereignisse endlich zu durchbrechen, und schon bald verarbeiteten wir bequem 2,5 Milliarden Ereignisse pro Tag. Darüber hinaus bedeutete die horizontale Skalierung, dass wir dem System Hardware mit niedrigerer Spezifikation hinzufügen konnten. So war es ohne Einschränkungen skalierbar und die doppelte Anzahl von Servern bedeutete etwa die Verdoppelung der Daten oder die doppelte Leistung.

SIEM 2.0 ermöglichte zudem ein besseres Reporting und Dashboards sowie die Möglichkeit, erstmals auch historische Daten abzufragen. Mit SIEM 1.0 waren lange Zeiten für Datenspeicherung irrelevant, da die Technologie die Daten effektiv ohnehin nicht länger als ein paar Wochen abfragen konnte. Die größere Datenarchitektur von SIEM 2.0 ermöglichte es uns, Daten über viel längere Zeiträume abzufragen und Antworten in angemessener Zeit zurückzubekommen.

Wenn jedoch die Skalierbarkeit das größte Geschenk von SIEM 2.0 war, wurde sie schlussendlich zu ihrem größten Fluch. Nicht nur, weil sie nicht gut funktionierte, sondern weil das Problem einfach weiter unten in die operative Pipeline verlagert wurde. Vor SIEM waren die Sicherheitsexperten im Wesentlichen blind und konnten nicht sehen, was in ihren eigenen IT-Umgebungen geschah. Die erste Generation von SIEM gab ihnen den Blick frei, aber die zweite Generation nahm ihn wieder weg, indem sie mehr Daten präsentierte, als es möglich war zu verarbeiten. SIEM 2.0 scheiterte auch an Innovationen in Bezug auf die Warnaspekte von SIEM, so dass die Teams auf vorkonfigurierte Warnungen angewiesen waren, die bestenfalls mit nur wenigen Elementen korrelierten.

SIEM Productivity Study

Nicht alle SIEM-Lösungen sind effizient

SIEM 3.0 - ca. 2015 bis heute

Die dritte Generation von SIEM bedeutet eher radikale Revolution statt Evolution. Die Revolution bestand vornehmlich darin, dass erstmals Algorithmen des Maschinellen Lernens Einzug hielten und die Fähigkeiten für Analytik radikal verbesserten. Der große Unterschied von SIEM 3.0 war der Schritt weg von vorkonfigurierten Alarmen hin zu einem risikobasierten Ansatz. Warnmeldungen waren vor der Ankunft von SIEM 3.0 zwar bereits wertvoll, basierten jedoch nur auf einfachen, vorab bekannten Fakten. Im modernen Sicherheitsmanagement werden Teams heute jedoch auch mit bisher unbekannten Zero-Day-Bedrohungen konfrontiert. Die neue, analysebasierte Sicherheitsüberwachung von SIEM 3.0 wendet statistische Techniken auf Datenmengen an, um Betriebsmodelle zu erstellen, die die Grundlage für jeden einzelnen Benutzer und jede einzelne Einheit in einer Umgebung bilden. Diese Technik wird als User- und Entity-Verhaltensanalyse (UEBA) bezeichnet. In einem UEBA-System ermöglicht eine Baseline die Festlegung eines „normalen Verhaltens" in einer Umgebung. Alle zukünftigen Abweichungen von dieser Basislinie führen dann zu Risiken für Benutzer und Systeme. So können sich die Sicherheitsteams auf diese tatsächlichen Risiken konzentrieren.

Verlassen sich Sicherheitsteams weiterhin auf alarmbasierte SIEM-2.0-Technologie, sieht die Realität so aus, dass die Sicherheitsanalysten kaum mehr tun, als False Positives abzuarbeiten. Dies liegt an der Tatsache, dass Risiken mit dieser unvollendeten Technologie meist erst erkannt werden, wenn die Kill-Chain bereits abgeschlossen ist. In einer Welt, in der die Gefahren ständig steigen und mit zunehmender Größe sogar die Existenz ganzer Unternehmen gefährden, kann eine solch ineffektive Lösung nicht mehr mit gutem Gewissen eingesetzt werden.

Fazit

Die neueste Generation von SIEM, die auf Maschinelles Lernen und einen risikobasierten Ansatz mit einer User- und Entity-Verhaltensanalyse setzt, stellt derzeit den Goldstandard für Sicherheitslösungen im Unternehmen dar. Unternehmen, die noch immer auf ältere Lösungen der zweiten Generation setzen, sollten sich mit den damit verbundenen Gefahren auseinandersetzen und sich die Möglichkeiten der neuesten Generation von SIEM genau ansehen. Wer weiß, was SIEM 4.0 bringen wird, aber bis zu seiner Ankunft ist SIEM 3.0 zweifellos die Basistechnologie eines modernen effektiven Security Operations Center (SOC).

Über den Autor: Stephen Gailey ist Head of Solutions Architecture bei Exabeam.

(ID:46299578)