Fünf Vorurteile gegenüber SIEM

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

AlienVault Germany

1. SIEM ist zu komplex

Die relevanten Daten zu sammeln und sie mit ungleichen Technologien zu normalisieren bzw. zu korrelieren, um eine Gesamtübersicht zu erhalten, ist keine triviale Aufgabe. Meistens erwartet der Verkäufer des jeweiligen SIEM-Systems, dass der Kunde oder dessen Service-Anbieter den Großteil dieser Herausforderung übernimmt.

Um das „Datensammelmonster“ zu füttern, sind mehrere Stunden Zusammenarbeit mit den Systemadministratoren nötig. Sie leiten die Datenquellen so um, dass Informationen über Ereignisse direkt über die SIEM-Lösung laufen.

Technisch gesehen ist dies für ein einziges System nicht außerordentlich komplex, aber im großen Maßstab kann es sehr kompliziert werden. In manchen Fällen kann die Implementierung Monate dauern. Denn für eine aussagekräftige SIEM-Analyse sind folgende sicherheitsspezifischen Datenquellen notwendig:

• Netzwerkdurchfluss/Netzwerkanalyse,

• Asset Discovery/Inventory,

• Schwachstellenbewertung,

• Log Management,

• Wireless Intrusion Detection (WIDS),

• Host-basierte Intrusion Detection (HIDS),

• Netzwerkbasierte Intrusion Detection (NIDS),

• File Integrity Monitoring sowie

• alle netzwerk-, system- und applikationsspezifischen Ereignisse.

Die Integration dieser Daten in die SIEM-Lösung muss anschließend in mehreren Schritten durchgeführt werden. Wichtig sind dazu Security-Tools wie z.B. IDS, Schwachstellen-Scanner etc. Nach Evaluation, Auswahl und Kauf müssen die Lösungen implementiert und konfiguriert werden. Es folgen Feineinstellungen sowie die Integration dieser Quellen in das SIEM-System.

Der Nachteil: Management und Administration der Security-Tools erfolgt über andere Bedienoberflächen als die der SIEM-Lösung selbst, was größeren Administrationsaufwand bedeutet und dementsprechend mehr Zeit verschlingt. Dies führt uns zum zweiten Grund.

2. Die Implementierung dauert zu lange

Bei den meisten Unternehmen, die sich nach einer passenden SIEM-Lösung umsehen, läuft dieser Prozess mit einer hintergründigen Eile ab. Denn sie suchen Antworten – jetzt. Das Beantworten von Fragen wie „Was passiert in unserem Netzwerk?“, „Welche Bedrohungen benötigen meine Aufmerksamkeit?“ oder „Was könnte sich in unserem Audit kommende Woche als Problem erweisen?“ verlangt jedoch viel Geduld.

Das SIEM-System liefert erst nach vollständig abgeschlossener Integration Antworten, was meist erst Monate nach der Erstinstallation der Fall ist. Die vom Händler beworbene „Security Intelligence“ basiert auf Regeln für die Korrelation von Ereignissen. Diese sind nutzlos, solange nicht externe Datenquellen hinzugezogen und feinabgestimmt werden.

(ID:39035540)