Planung, Planung und nochmals Planung Die vier großen Herausforderungen der SIEM-Migration

Auch für ausgewiesene Cybersicherheitsexperten stellt die Migration von einem alten zu einem neuen SIEM-System – was in aller Regel bedeutet von on-premises in die Cloud – eine echte Herausforderung dar. Sämtliche Arbeitsschritte müssen sorgfältig geplant und vorbereitet und die ganz eigenen Anforderungen des Umzugs in die Cloud ausreichend berücksichtigt werden.

Seit vielen Jahren schon stellen Systeme für Security Information and Event Management (SIEM) eine Kernkomponente effektiver und effizienter Cybersicherheitsarchitekturen dar. Sie helfen Cybersicherheitsteams, das eigene System umfassend zu überwachen, Bedrohungen frühzeitig zu erkennen und rechtzeitig auf diese zu reagieren.

In den vergangenen Jahren haben SIEM-Technologien eine rasante Entwicklung durchlaufen. Mittlerweile ermöglicht künstliche Intelligenz Features wie Advanced Threat Detection and Response, Predictive Threat Intelligence, Contextualized Security Intelligence, Adaptive Security Posture und vor allem: mehr und mehr Workflow Automation. Gerade in einem Personalbereich mit konstant hohem Engpass – wie der Cybersicherheit – stellt die Möglichkeit der Automatisierung von Arbeitsprozessen für viele Unternehmen einen entscheidenden, wenn nicht den entscheidenden Faktor dar, wenn es um die Wahl einer passenden Sicherheitslösung geht.

Auch SIEM-Systeme müssen dementsprechend regelmäßig auf den neuesten technologischen Stand gebracht werden – entweder über ein Update des bestehenden Systems oder, falls dies nicht möglich ist, über die Migration hin zu einem neuen System. Selbst für gestandene Cybersicherheitsexperten gestaltet sich der Wechsel von einem Legacy- zu einem neuen, moderneren SIEM-System allerdings häufig als komplexer, langwieriger und schwieriger Prozess. Auch ein Scheitern ist möglich, sofern die technischen, personellen und finanziellen Herausforderungen der Migration nicht gemeistert werden.

Aus diesem Grund ist es unerlässlich, bei einer SIEM-Migration sämtliche Arbeitsschritte sorgfältig im Voraus zu planen und vorzubereiten, den zeitlichen, personellen und finanziellen Bedarf so genau wie möglich zu ermitteln und mit den vorhandenen Ressourcen in Einklang zu bringen – sowohl im Hinblick auf die Migrationsphase selbst als auch im Hinblick auf die Zeit danach. An einer umfassenden Bestandsaufnahme und tiefgehenden Analysen – sowohl der IT-Landschaft als auch der Cybersicherheitsarchitektur und der Cyberbedrohungslage – kommt dementsprechend kein Cybersicherheits-Team bei einer SIEM-Migration vorbei.

Warum SIEM-migrieren?

Warum nehmen Cybersicherheitsteams die schwierige Aufgabe einer SIEM-Migration dann aber dennoch auf sich? Eben weil eine SIEM-Migration es ihnen ermöglicht, technisch aufzuschließen und von den vielen Vorzügen einer modernen SIEM-Lösung zu profitieren:

Verbesserte Funktionalität: effektivere Erkennung von Bedrohungen; erweiterte Analysen; höhere Skalierbarkeit zur Bewältigung auch größerer Protokolldatenmengen.

• Verstärkte Leistungsfähigkeit: schnellere Datenerfassung und -verarbeitung; raschere Aufspürung von Bedrohungen sowie schnellere Alarmierung über und Reaktion auf Sicherheitsvorfälle dank automatisierter Playbooks und integrierter Bedrohungserkennung.

• Geringere Kosten: Geringere Infrastrukturanforderungen und ein höherer Automatisierungsgrad verringern die Infrastrukturkosten und den Arbeitsaufwand der Cybersicherheitsteams; die SIEM-Lizenzkosten fallen niedriger aus.

• Erweiterte Integrationsfähigkeit: verbesserte Kompatibilität mit Sicherheitstools, Cloud-Diensten, IT-Infrastrukturkomponenten, APIs sowie Integrationen von Drittanbietern/Anbietern.

Der erste Schritt: ein guter Plan

Die erfolgreiche Migration von einem Legacy-SIEM-System zu einem modernen SIEM-System erfordert vor allem eines: Planung, Planung und nochmals Planung; sowie eine langsame Umsetzung, Schritt für Schritt, um etwaige Probleme und Störungen möglichst frühzeitig zu erkennen und aus dem Weg zu räumen, bevor es zu spät ist.

Zunächst muss hierzu eine Bestandsaufnahme der vorhandenen Infrastruktur, also der Datenflüsse, ihrer Korrelationen, Dashboards und wesentlichen Workflows gemacht werden. Dann muss ein umfassender Migrationsplan erstellt werden, der neben Zeitplänen und Ressourcen auch potenzielle Risiken und Abhängigkeiten beinhaltet. Dabei ist darauf zu achten, dass zwingend notwendige Funktionen des Legacy-Systems, auch in der neuen SIEM-Umgebung zur Anwendung gebracht werden können.

Nur auf diese Weise wird sich die Kontinuität kritischer Use Cases, wie die Bedrohungserkennung und -analyse, und die Aufrechterhaltung der Compliance sicherstellen lassen.

Die vier großen Herausforderungen einer SIEM-Migration

Mit vier zentralen Herausforderungen werden Cybersicherheitsteams hierbei in aller Regel zu kämpfen haben. Gelingt es ihnen, diese erfolgreich zu meistern, am besten unter Rückgriff auf bewährte Best Practice-Vorgehensweisen, können sie das Risiko etwaiger Probleme, die während und nach einer Migration auftreten können, deutlich minimieren:

1. Technische Herausforderungen I: Kompatibilitätsprobleme
Die Migration zu einem neuen SIEM-System geht oft mit technischen Komplikationen und Kompatibilitätsproblemen einher. Nicht immer lassen sich die bestehende Infrastruktur und die vorhanden Sicherheitstools nahtlos in das neue SIEM integrieren. Betriebsstörungen können die Folge sein. Cybersicherheitsteams müssen hier darauf achten, dass die Datenintegrität gewährleistet bleibt und, wo erforderlich aber noch nicht vorhanden, für die Einrichtung der entsprechenden Datenkonnektoren sorgen. Dabei gilt es stets im Hinterkopf zu behalten, dass die Konnektivität mit API- und Drittanbieter-Tools zwar einerseits die Leistungsfähigkeit des SIEM erhöht, andererseits aber auch zusätzliche potenzielle Angriffsflächen für Sicherheitsverletzungen schafft.

2. Technische Herausforderung II: Datenmigration und -optimierung
Ein wesentlicher Teil der SIEM-Migration besteht darin, historische Sicherheitsdaten vom alten System auf das neue zu übertragen. Diese Datenmigration kann sehr ressourcenintensiv werden und erfordert dementsprechend eine sorgfältige Planung. Es muss sichergestellt werden, dass alle relevanten historischen Protokolle und Events erhalten bleiben. Datenverluste oder -beschädigungen während dieses Prozesses müssen um jeden Preis verhindert werden.

Gleichzeitig sollte aber auch geprüft werden, welche Daten wirklich benötigt werden – um die Datenerfassung entsprechend zu optimieren. Nur weil Daten in der Vergangenheit protokolliert wurden, heißt das nicht unbedingt, dass sie auch heute noch migriert werden müssen. Die Optimierung der benötigten Daten ist ein entscheidender Meilenstein bei der Migration, da sie hilft, Datenrauschen zu reduzieren.

3. Personelle Herausforderung: Schulungen und Fortbildungen
Wird ein neues SIEM-System implementiert, bedeutet dies für Cybersicherheitsteams in aller Regel: Schulungen und Fortbildungen. Sie müssen an die neue Nutzeroberfläche, die Funktionen und die einzelnen Arbeitsabläufe des neuen Systems herangeführt, mit ihm vertraut gemacht werden. Hierzu müssen ihnen ausreichend Ressourcen, Arbeitszeit und Geld, zur Verfügung stehen.

4. Finanzielle Herausforderung: das Gesamtprojekt als Investition
Die Migration zu einem neuen SIEM-System kostet – einiges. Zu den zu erwartenden finanziellen Ausgaben zählen der Erwerb des neuen Systems, anfallende Lizenzgebühren, etwaige Hardwareaufstockungen und die bereits erwähnten Schulungen und Fortbildungen des Cybersicherheitspersonals. Um diese Kosten vor der Geschäftsführung rechtfertigen zu können, müssen Cybersicherheitsteams die genaue Höhe der Kosten sorgfältig ermitteln, die Rendite dieser Investitionen in die Cybersicherheit des Unternehmend (ROI) eingehend bewerten und auch Nicht-Experten plausibel darlegen können.

Nur nicht verunsichern lassen

Es lässt sich festhalten: die Migration zu einem neuen SIEM-System ist ein komplexes Unterfangen, das eine gründliche Kenntnis der damit verbundenen technischen, personellen und finanziellen Herausforderungen erforderlich macht. Auf den ersten Blick mag all dies auf viele Sicherheitsteams (und Sicherheitsverantwortliche) einschüchternd wirken. Doch eine Migration hin zu den Systemen mit den neuesten Technologien lohnt sich – wird für viele Unternehmen sogar zwingend erforderlich sein. Das personelle Einsparpotenzial ist, dank zunehmender Automatisierung, erheblich und Fachkräfte im Bereich Cybersicherheit sind nun einmal nach wie vor Mangelware.

(ID:50175767)