Ereigniskorrelation Kosten einer SIEM-Lösung

Alarme und Events von Sicherheitskomponenten zu ignorieren kann sehr kostspielig werden. Abhilfe und Übersicht schafft eine professionelle SIEM-Lösung. Soll diese effektiv eingesetzt werden, so bindet sie aber interne Ressourcen und verursacht Kosten, derer sich Unternehmen bewusst sein müssen.

Anbieter zum Thema

Vogel IT-Medien GmbH

Arctic Wolf Networks Germany GmbH

Viele Unternehmen setzen auf präventive Sicherheitsmaßnahmen wie Firewall, IPS und Anti-Virus. Jedoch werden diese Sicherheitsschichten durch Phishing Angriffe, „Watering Hole“-Attacken und Schadcode, der unbemerkt ins Unternehmen gelangt, einfach umgangen.

Stehen keine weiteren Mittel zur Verfügung, um intelligente Korrelationen, Angriffsmuster und Anomalien zu erkennen, können sich die Angreifer unbemerkt in der eigenen Infrastruktur bewegen und Daten exfiltrieren. Im Durchschnitt werden Eindringlinge erst nach 170 bis 229 Tagen entdeckt.

Wenn Unternehmen „nichts tun“ und Opfer von Datenmissbrauch werden, können enorme finanzielle Schäden entstehen. Laut Ponemon Institut betragen die durchschnittlichen Kosten für einen gestohlenen Datensatz in Deutschland rund 140 Euro. Ferner können weitere Kosten für die Bereinigung des Schadenfalls hinzukommen, Rufschädigung und einer Kundenabwanderung noch nicht mit eingerechnet.

Es müssen aber nicht unbedingt Daten gestohlen werden. Häufig werden Unternehmen einfach nur ausgespäht oder sie fungieren unwissend als Teil eines Botnetzes oder DDoS-Angriffs. Aber auch Angriffe durch Insider stellen ein immer größeres Risiko dar. Für mehr Intelligenz, Transparenz und Visibilität in der Angriffserkennung kann das Security-Information- und -Event-Management (SIEM) sorgen.

Funktionen eines SIEM

Ein SIEM-System wird dazu verwendet, die Logs von unterschiedlichen Sicherheitskomponenten (z.B. Firewalls, IDS/IPS, Anti-Virus, Active-Directory, Web-Server, etc.) zentral zusammenzuführen und zu korrelieren. Es hilft, fast in Echtzeit sicherheitsrelevante Ereignisse darzustellen, diese zu priorisieren und entsprechend darauf zu reagieren.

Weiterhin gibt es Anbieter, die einen Echtzeit Bedrohungschutz („Threat Intelligence“) zur Verfügung stellen, um die Qualität der Erkennungsrate zu erhöhen sowie aufkommende oder gezielte Angriffe zu erkennen. Desweiteren bietet es Analyse, Alerting und Reporting Tools für potenzielle Sicherheitsereignisse.

Eine SIEM-Lösung will aber auch implementiert und gewartet werden. Somit ist die Beschaffung des SIEM-Produktes nur der Anfang. Das Unternehmen muss auch Fachkräfte einstellen, sie trainieren und reibungslose Prozesse definieren. Darüber hinaus muss das Security Information and Event Management ständig optimiert und an aktuelle Bedrohungen angepasst werden.

Ein SIEM ist häufig das zentrale Tool für ein Security Operation Center (SOC) und sollte adäquat geschützt werden, da es viele wichtige Informationen an einer zentralen Stelle enthält und zur Angriffserkennung genutzt wird. Es ist naheliegend, dass es für Angreifer ein attraktives Ziel darstellt.

Erfolgskriterien für das SIEM

Obwohl es SIEM-Produkte schon seit mindestens einer Dekade gibt, scheuten sich bisher viele Sicherheitsverantwortliche eine solche Lösung einzuführen. Aufgrund eines höheren Risikos für Unternehmen durch Cyber-Attacken und strengere Compliance-Vorschriften sind sie mittlerweile aber dazu gezwungen, mehr in die Angriffserkennung und Verteidigung zu investieren.

Doch was kostet eine solche Lösung und wird sie auch effektiv sein? Es liegt auf der Hand, dass eine höhere Effektivität auch höhere Kosten und Aufwände bedeuten. Eine effektive SIEM Lösung benötigt gut ausgebildete Analysten. Eine 24x7-Überwachung und -Reaktion auf Sicherheitsvorfälle sollte gewährleistet sein, da Angriffe häufig am Wochenende und außerhalb der Geschäftszeiten stattfinden.

Das SIEM-System muss kontinuierlich „getuned“ und optimiert werden, um sich an die Dynamik der Bedrohungslage sowie internen Gegebenheiten anzupassen. Der Erfolg dieser Lösung hängt stark davon ab, ob die Optimierung und Anpassung der Korrelationsregeln konsequent „gelebt“ wird. Außerdem sollten sich Unternehmen im Klaren sein, dass Einführung, Feinjustierung und operative Inbetriebnahme einer SIEM Lösung je nach Firmengröße sechs bis 18 Monate dauern kann.

Aufwände und Kostenschätzung

Um eine realistische Kostenschätzung durchführen zu können, gehen wir im folgenden Fallbeispiel von einem mittleren Unternehmen aus, das über 20 Standorte verteilt ist und rund 10.000 Mitarbeiter beschäftigt. Es hat zwei Internet-Ausgänge und zehn Partner, die per Virtual Private Network angeschlossen sind.

Innerhalb der Umgebung sollen 20 Firewalls, fünf Intrusion-Detection- und –Prevention-Systeme, vier Web Proxys, zwei Web-Application-Firewalls, 25 Server und 50 Switche sowie Router überwacht werden. Insgesamt werden 2.000 MPS (Messages per Second) produziert. Neben dem eigentlichen SIEM-Produkt und den jährlichen Kosten werden bei einer 24x7-Überwachung im Drei-Schichten-Betrieb mindestens sieben Security-Analysten in Vollzeit benötigt.

Die Analysten müssen regelmäßig weitergebildet werden, um mit dem SIEM-System umgehen, Anpassungen vornehmen und mit neuen Angriffsszenarien Schritt halten zu können. Darüber hinaus gilt es, Prozesse und Rollen zu definieren, um auf die auftretenden Incidents entsprechend zu reagieren. Hinzu kommen Kosten für die Planung und Implementierung der SIEM-Lösung. Idealerweise wird ein „Incident Response Plan“ angelegt und geübt, um bei speziellen Bedrohungen schnell und richtig zu reagieren.

Als Berechnungsgrundlage dient ein Jahresgehalt eines Security Analysten von ca. 70.000 Euro. Die Gesamtkosten für eine 24x7-Überwachung und einer Laufzeit von drei Jahren betragen etwa 1,75 Millionen Euro. Die Kosten für die einmalige Anschaffung eines SIEM-Systems, die initiale Implementierung, sowie laufende Wartungskosten, halten sich in Grenzen. Die Hauptkosten beinhalten das Fachpersonal.

Beweist man Mut zur Lücke und setzt auf eine 12x5-Überwachung, dann benötigt man mindestens drei Vollzeit-Security-Analysten. Die Gesamtkosten für drei Jahre betragen demnach ca. die Hälfte der rund um die Uhr Überwachung. Dies birgt allerdings ein hohes Risiko, Angriffe außerhalb der Geschäftszeiten gar nicht oder erst am nächsten Tag zu entdecken.

* Raimar Melchior arbeitet als Cyber Security Architect beiDell SecureWorks.

(ID:43192359)