Logmanagement & Cloud SIEM Logmanagement und Cloud SIEM verbessern die Hacker-Abwehr

Anbieter zum Thema

indevis GmbH

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

SEPPmail - Deutschland GmbH

Logdaten sind mehr als ein digitales Tagebuch. Mit ihrer Hilfe können Unternehmen Cyberangriffe erkennen und abwehren. Vorausgesetzt, es stehen ausreichend Daten zur Verfügung, um sie auszuwerten. Sie langfristig zu speichern, ist allerdings kostenintensiv und aufwändig. Überwindet die SIEM-Cloud die traditionellen Grenzen des Logmanagements?

Deutschlands Unternehmen haben Datensicherheit zur Kernpriorität erklärt. Immerhin können neun von zehn damit rechnen, Opfer von Datendiebstahl, Spionage oder Sabotage zu werden. Den Schaden beziffert der Branchenverband Bitkom auf 206 Milliarden Euro pro Jahr, wobei Unternehmen im Vergleich zu 2022 einen Anstieg der Bedrohungslage beobachten. Besondere Sorge gilt Hackerangriffen in Form von DDoS-Attacken, gleichzeitig identifizieren die Befragten Phishing-Kampagnen und Ransomware als Top-Risiken. Führungskräfte müssen auf der einen Seite mit dem technologischen Fortschritt Schritt halten, auf der anderen Seite sehen sie sich den raffinierter werdenden Methoden der Kriminellen ausgesetzt. Robuste Firewalls, starke Passwörter, Verschlüsselung und andere Sicherheitsmaßnahmen sind das Gebot der Stunde. Dabei übersehen viele das Potenzial, das in den Logdaten verborgen liegt.

Wenn nicht angemessen protokolliert und die IT-Infrastruktur nicht überwacht wird, bleiben potenzielle Sicherheitsvorfälle unentdeckt. Qualität und Integrität der Protokolldateien beeinflusst also die Sicherheit des gesamten Firmen-Systems. Sie liefern wertvolle Informationen, die dazu beitragen, die Sicherheit des Firmennetzwerks zu verbessern.

Logdaten und ihre Bedeutung für SIEM

Logdateien stehen im Zentrum eines effektiven Security Information and Event Management (SIEM)-Systems. Durch sie ist es möglich, das Firmennetzwerk fortlaufend zu beobachten und verdächtige Aktivitäten auszumachen. Anomalien in den Protokollen weisen frühzeitig auf potenzielle Angriffe hin und lassen diese eindämmen, noch bevor sie ernsthaften Schaden anrichten.

Kommt es trotzdem zu einem Sicherheitsvorfall, benötigen die Analysten genaue Informationen, um herauszufinden, was passiert ist. Logdateien dienen Incident-Response-Ermittlern demnach als Werkzeuge dafür, den Ursprung und den Verlauf eines Angriffs nachzuvollziehen und Beweise für eine spätere Untersuchung zu sichern. Viele Branchen und Regulierungsbehörden verlangen deshalb, Logdateien für eine bestimmte Zeitspanne aufzubewahren und auf Anfrage bereitzustellen. Logdaten-Management ist daher für die Betriebe unerlässlich, wenn sie keine hohen Geldstrafen und rechtliche Konsequenzen riskieren wollen – gerade jetzt mit Blick auf die EU-Richtlinie NIS-2. Es trägt allerdings nicht nur zur Sicherheit bei, sondern auch zur Optimierung der IT-Infrastruktur: Werden Protokolle analysiert, lassen sich Engpässe identifizieren, Ressourcen effizienter zuweisen und die Gesamtleistung verbessern.

Der Cloud-Ansatz: Ein Weg zu umfassender Sicherheit

Serverprotokolle, Sicherheitsprotokolle, Remote-Protokolle und mehr erzeugen einen enormen Datenstrom. Ihn in den Griff zu bekommen und die Daten langfristig zu speichern, kostet. Bei zehn Terabyte fallen schnell über 100.000 Euro an, insbesondere bei On-Premises-Systemen, wo präzise geplant und Hardware bereitgestellt werden muss. Deshalb speichern Unternehmen oft nur eine Auswahl ihrer Logdaten, was später ihre Fähigkeit zur umfassenden Analyse beeinträchtigt.

Doch der Trend im Security-Bereich geht zu Cloud-Lösungen, die Hardware-Kosten und Management-Aufwand reduzieren und sich schnell in Betrieb nehmen lassen. Es ist nur konsequent, dass mittlerweile alle großen Hyperscaler im Security-Umfeld aktiv sind – sowohl um eigene Angebote abzusichern als auch um Anteile in einem Wachstumsmarkt zu erobern. Amazon konzentriert sich bisher vor allem auf den Schutz von Webshops und Webapplikationen, während Microsoft insbesondere mit Security-Lösungen im Windows-, Office- und Microsoft-365-Umfeld aktiv ist. Dass Google dahingehende Pläne hat, dürfte spätestens seit der 5,4 Milliarden schweren Akquisition von Mandiant klar sein. Damit hat sich der Internet-Gigant führende Threat Intelligence einverleibt, mit der er sein IT-Sicherheitsangebot konsequent ausbaut.

Wie Unternehmen den richtigen Cloud-SIEM-Anbieter finden

Die Cloud-native Architektur erlaubt eine flexible und nahezu unbegrenzte Skalierung, wodurch keine umfassenden Konfigurationen oder Managementanpassungen vorgenommen werden müssen. Trotzdem sind bei der Wahl eines Cloud-SIEM-Anbieters mehrere Schlüsselfaktoren zu berücksichtigen. Diese Fragen helfen Unternehmen herauszufinden, welcher Anbieter zu ihnen passt:

• Wie komplex ist es, Logquellen anzubinden? Schnell und einfach geht das mit einer API-Integration.

• Werden Daten automatisch normalisiert? Ist dies der Fall, erleichtert das die Integration unterschiedlicher Logquellen und sollte in der Lizenz enthalten sein.

• Wie leicht lassen sich verschiedene Anbieter andocken? Je flexibler ein Cloud-SIEM ist, desto leichter lässt sich die Sicherheit erhöhen. Außerdem lassen sich verschiedene Datenquellen einbeziehen.

• Wie viel Cloud Storage mit welcher Aufbewahrungszeit ist in der Lizenz enthalten? Die Menge und die Dauer bestimmt, wie vollständig und lange Betriebe die Daten aufbewahren können, ohne Mehrkosten in Kauf nehmen zu müssen.

• Wie schnell durchsucht die SIEM-Cloud die gespeicherten Datenmengen? In der Schnelligkeit liegt auch Resilienz. Dadurch, dass die Betriebe rasch rückblickend Logdateien analysieren, sind sie nicht nur fähig, aktuelle Bedrohungen zu identifizieren, sondern auch Zero-Day-Angriffe zu erkennen.

Bei allen SIEM- und SOC-Systemen gilt: Für mittelständische Unternehmen, deren IT-Abteilungen stark unter dem IT-Fachkräftemangel leiden, ist es praktisch unmöglich, derart komplexe Systeme in Eigenregie in die vorhandene Security-Landschaft zu integrieren. Zudem ist es nicht mit der Anbindung von Logquellen getan. Anschließend gilt es, alles kontinuierlich zu betreiben, zu aktualisieren, Analysen zu fahren und gegebenenfalls Strategien gegen Cyberangriffe zu entwickeln und durchzuführen.

Wollen mittelständische Firmen also die Cloud-SIEM-Möglichkeiten nutzen, ist die Zusammenarbeit mit einem erfahrenen Managed Security Service Provider (MSSP) empfehlenswert. Dieser verfügt über ein professionelles SOC-Team und hat jahrelange Erfahrung im Umgang mit SIEM- und SOAR-Systemen. Innerhalb seines MDR-Service (Managed Detection & Response) kümmert er sich darum, dass alles korrekt angebunden ist, entwickelt gemäß aktuellen Herausforderungen kontinuierlich neue Playbooks und hat neue Entwicklungen in der Cybercrime-Branche stets im Blick. Im Falle eines Angriffs informiert er den Kunden umgehend, gibt Schritt-für-Schritt-Handlungsempfehlungen und unterstützt bei der Umsetzung der Gegenmaßnahmen.

Fazit: Logmanagement und SIEM sind heute für Unternehmen unverzichtbar

Sorgfältig in die Security-Infrastruktur integriert, verbessern Logmanagement und Cloud SIEM die Abwehr gefährlicher Hackerangriffe erheblich. Logdaten sind daher nicht nur Aufzeichnungen, sondern entscheidend für Compliance, Cyberangriffserkennung und -abwehr. Angesichts steigender Cyberbedrohungen und der Notwendigkeit, die Protokoll-Daten sicher zu verwalten, sind moderne Ansätze unverzichtbar. Der Blick in die Zukunft zeigt: Firmen, die proaktiv auf die rasant entwickelnde Bedrohungslandschaft reagieren, sind resilienter. Cloud-SIEM ist ihr Schlüssel dazu.

Über den Autor: Wolfgang Kurz ist Geschäftsführer und Founder von Indevis.

(ID:49880120)