Schnellere Erkennung von Cyberangriffen Logging- und SIEM-as-a-Service für effektive IT-Sicherheit

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Mimecast Germany GmbH

Zentrale Log-Server und Lösungen für Security Information & Event Management (SIEM) sind wichtige Bausteine einer modernen IT-Sicherheitsarchitektur. Der Aufwand für Implementierung und Betrieb dieser Dienste überfordert jedoch viele IT-Abteilungen. Mit Logging- und SIEM-as-a-Service können Unternehmen diese Aufgaben an einen externen Dienstleister auslagern und profitieren so von höherer Sicherheit bei klar kalkulierbaren Kosten.

Cyberattacken auf Unternehmen laufen heute automatisiert, optimiert und hochprofessionell ab. Die Angreifer versuchen, so lange wie möglich unentdeckt zu bleiben, um nach und nach immer mehr Systeme unter ihre Kontrolle bringen zu können. Aber auch die raffiniertesten Attacken hinterlassen subtile Spuren im Netzwerk. Unternehmen, die diese Spuren frühzeitig erkennen, können Angriffe stoppen, bevor ein großer wirtschaftlicher Schaden entsteht.

Um das zu erreichen, müssen Unternehmen die Log-Einträge ihrer IT-Systeme kontinuierlich überwachen. Denn genau hier finden sich die Spuren, die ein Angreifer bei seinen Aktivitäten in einer IT-Umgebung hinterlässt. Vielen Unternehmen fehlen jedoch die dafür notwendigen Werkzeuge. Jedes System speichert seine Log-Einträge individuell – und das in unterschiedlichen Formaten und mit unterschiedlichen Aufbewahrungsfristen. So können die Daten von der IT-Abteilung nicht effizient ausgewertet werden.

Warum zentrales Logging so wichtig ist

Ein wichtiger Schritt zur Stärkung der IT-Sicherheitsarchitektur ist daher die Einführung eines zentralen Log-Servers. Hier laufen die Log-Einträge von allen Systemen einer IT-Umgebung zusammen und werden standardisiert, aggregiert und sicher gespeichert. Der zentrale Log-Server bildet damit die Basis für weitergehende Analysen und unterstützt als Datendrehscheibe unterschiedliche Anwendungen.

Das zentrale Logging ist zum einen die Voraussetzung für den Einsatz eines SIEM-Systems und liefert diesem die Daten, um Anomalien im Verhalten von Anwendungen in Echtzeit zu erkennen. Auch für die forensische Untersuchung von Sicherheitsvorfällen werden die vollständigen Log-Daten einer IT-Umgebung benötigt.

Zum anderen erleichtert ein zentraler Log-Server die Einhaltung von Compliance-Standards. Vorschriften wie die Datenschutz-Grundverordnung (DSGVO) oder der Payment Card Industry Data Security Standard (PCI-DSS) schreiben eine lückenlose Aufzeichnung und Überwachung von Log-Daten vor. So lässt sich jederzeit nachvollziehen, wer welche Änderungen in der IT-Umgebung vorgenommen hat.

Schließlich können zentrale Log-Daten auch beim Troubleshooting einer IT-Umgebung helfen. Der zentrale Zugriff auf alle Systemereignisse erleichtert es IT-Abteilungen, Fehlerzustände zu analysieren, falsch konfigurierte Systeme zu identifizieren und die Ursache von Performance-Problemen zu finden.

Herausforderungen beim zentralen Logging

Beim Einsatz eines zentralen Log-Servers sind allerdings auch einige Dinge zu beachten. Grundsätzlich sollte der Log-Server als dediziertes physisches System mit eigenem Storage implementiert werden. So können die Log-Daten im Falle eines Cyberangriffs einfach extrahiert und an die ermittelnden Behörden übergeben werden. Entscheidend ist es auch, den Log-Server umfassend vor unbefugten Zugriffen zu schützen. Denn Cyberkriminelle versuchen bei Angriffen grundsätzlich, möglichst viele Protokolldaten zu löschen, um ihre Spuren zu verwischen.

Die zentral gesammelten Log-Daten müssen dann in ein standardisiertes Datenformat wie zum Beispiel JSON gebracht werden. Das macht es einfacher, die Daten mit anderen Systemen auszutauschen und weiterzuverarbeiten. Auch die Definition einer einheitlichen Zeitzone ist wichtig. Denn wenn die Log-Daten mit unterschiedlichen Zeitstempeln gespeichert werden, lassen sich kausale Zusammenhänge kaum noch erkennen.

Eine weitere Herausforderung beim zentralen Logging ist die „Geschwätzigkeit“ mancher Systeme. Gerade durch Virtualisierung, Containerisierung und die Integration von Cloud-Diensten steigt die Menge an Log-Daten exponentiell an. Der zentrale Log-Server sollte daher in der Lage sein, die gesammelten Daten sinnvoll zu filtern und nur die wichtigsten Meldungen an nachgelagerte Dienste wie das SIEM-System weiterzuleiten. Das reduziert die Datenmenge, die diese Systeme verarbeiten müssen. Weniger „Grundrauschen“ minimiert auch die Kosten der Überwachung. Denn die Lizenzgebühren für SIEM-Systeme sind in der Regel an die Menge der ausgewerteten Daten gekoppelt.

Es gibt also gute Gründe für Unternehmen, sich intensiver mit dem Thema Logging zu beschäftigen. Dennoch betreiben viele Unternehmen noch keinen zentralen Log-Server. Oft fehlt das Know-how im eigenen Haus oder auch schlicht die Zeit, um eine geeignete Lösung zu implementieren. Als Alternative bietet sich daher die Nutzung von Logging-as-a-Service an. Bei diesem Modell kümmert sich ein Dienstleister um die Einrichtung und den Betrieb eines zentralen Log-Servers. Die externen Security-Experten übernehmen dabei auch den kompletten Service und unterstützen bei Themen wie der forensischen Analyse von Sicherheitsvorfällen.

Von Logging-as-a-Service zu SIEM-as-a-Service

Gerade in wachsenden IT-Umgebungen ist es sinnvoll, noch einen Schritt weiterzugehen und nicht nur zentrales Logging, sondern auch SIEM-Funktionalität von einem externen Service Provider zu beziehen. Ein SIEM-System korreliert die unterschiedlichen Log-Daten aus verschiedenen Quellen, um Angriffe aufzudecken. Dabei greift es auf die Daten zurück, die der Log-Server zentral vorhält, und analysiert diese mit Hilfe von künstlicher Intelligenz und Machine Learning-Technologie. In kleinen Umgebungen ist eine manuelle und bedarfsgetriebene Suche nach Angriffsmustern vielleicht noch ausreichend – wenn die Auswertung jedoch automatisiert ablaufen soll, wird ein SIEM-System benötigt, das diese Funktion abbildet.

Die Einrichtung eines SIEM-Systems ist für Unternehmen mit enormem Aufwand verbunden. Häufig dauert es mehr als ein halbes Jahr, bis das System erste verwertbare Ergebnisse liefert. Durch die Zusammenarbeit mit einem kompetenten Dienstleister kann dieser Zeitraum in den meisten Umgebungen auf wenige Wochen verkürzt werden.

SIEM-Systeme sind sehr mächtige Werkzeuge, die eine Vielzahl von Messpunkten auf mögliche Anomalien überwachen können. Unternehmen wissen jedoch zu Beginn noch gar nicht, welche dieser Tests für sie wirklich relevant sind. So kann es passieren, dass das IT-Team wichtige Informationen übersieht, weil es mit der Auswertung überfordert ist – oder Funktionen aktiviert, die keinen wirklichen Nutzen bieten.

Durch nicht bedarfsgerecht konfigurierte SIEM-Lösungen laufen auch die Kosten sehr schnell aus dem Ruder. Unternehmen, die den vollen Umfang einer SIEM-Lösung für ihre gesamte IT-Infrastruktur nutzen, geben dafür schnell einen mittleren sechsstelligen Bereich pro Jahr aus.

Ein SIEM-as-a-Service-Modell muss daher immer individuell auf die Anforderungen des Kunden zugeschnitten sein. Dazu ist es wichtig, die Wertschöpfungskette des Unternehmens zu analysieren und die Angriffspunkte mit dem größten Risiko zu identifizieren. Was sind die kritischsten Geschäftsprozesse? In welchen Daten steckt der größte Wert? Und welche Systeme sind am anfälligsten für Angriffe? Diese Fragen müssen Kunden und Dienstleister im Vorfeld gemeinsam beantworten. Anschließend werden die SIEM-Anwendungsfälle ausgewählt, die für den Kunden am wichtigsten sind.

Mit dieser Vorgehensweise erreichen Unternehmen sehr schnell ein hohes Maß an Sicherheit – und das meist zu einem Bruchteil der Kosten eines selbst betriebenen SIEM-Systems. Der Funktionsumfang des SIEM kann dann bei Bedarf schrittweise erweitert werden, um weitere Metriken auf Anomalien zu überwachen. Bildlich gesprochen schließt man zuerst die Scheunentore der IT-Umgebung und fängt erst dann an, die Ritzen an den Fensterrahmen abzudichten.

Enge Zusammenarbeit und klare Aufgabenverteilung

Entscheidend für den Erfolg eines Logging- oder SIEM-as-a-Service-Modells ist die Kommunikation zwischen Kunde und Dienstleister. Denn die Zusammenarbeit darf sich nicht auf die Einrichtung des Systems beschränken. Es müssen Prozesse etabliert werden, um die gesammelten Daten zu bewerten – auch in enger Abstimmung mit verschiedenen Fachabteilungen. Aus den Ergebnissen lassen sich dann die nächsten Schritte zur Erhöhung der IT-Sicherheit ableiten.

Der Dienstleister bringt dabei seine Kompetenz und Erfahrung ein, unterstützt bei der Interpretation von Auffälligkeiten und empfiehlt entsprechende Maßnahmen. Die letzte Verantwortung liegt jedoch beim Kunden. Nur er kann beispielsweise entscheiden, ob bei einem Sicherheitsvorfall kritische IT-Systeme sofort heruntergefahren werden sollen. Managed Security Services wie Logging- und SIEM-as-a-Service müssen daher immer in ein umfassendes Notfallkonzept eingebettet sein.

Über den Autor: Oliver Oldach ist Head of Cyber Security bei der Enthus GmbH. Seit rund 20 Jahren zählt der Bereich der IT-Security zu seinen Kernkompetenzen. Für internationale Mittelständler und Enterprise-Kunden hat er zahlreiche Projekte konzeptioniert und umgesetzt, etwa in den Bereichen KI, Big-Data-Analyse, IoT, Netzwerk oder der Absicherung von komplexen Web-Anwendungen. Ein Schwerpunkt seiner Tätigkeit für enthus ist mittlerweile die verhaltensbasierte Mustererkennung zur Klassifizierung und Erkennung von Bedrohungen und Angriffen.

(ID:49581108)