Mobile-Menu

Mit Security Information und Event Management (SIEM) Bedrohungen aufspüren und beseitigen

Mit SIEM IT-Gefahren erkennen

Seite: 2/3

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG
Fsas Technologies GmbH
SEPPmail - Deutschland GmbH
AlienVault Germany

Um ein Unternehmensnetzwerk abzusichern ist es mit einer einfachen Bedrohungsanalyse nicht getan.
Um ein Unternehmensnetzwerk abzusichern ist es mit einer einfachen Bedrohungsanalyse nicht getan.
(Bild: AlienVault)
Traditionelle SIEM-Tools zeigten oft Schwächen beim Bereitstellen von Threat-Informationen in Echtzeit und beim Identifizieren von bekannten Malware-Entwicklern. Darüber hinaus gaben diese Lösungen dem Unternehmen keine Anleitung, was zu tun ist, wenn Bedrohungen im Netzwerk gefunden wurden. Hier sind sechs Tipps, damit SIe einen erfolgreichen SIEM-Einsatz realisieren können.

1. SIEM-Tools vermeiden, die nur einem Zweck dienen.

Die Integration von SIEM muss nicht zwangsläufig komplex ablaufen. Nutzer sollten auf integrierte Security Monitoring-Funktionen wie Asset Discovery, Schwachstellenanalyse, Erkennung von Schwachstellen sowie Verhaltensüberwachung setzen, um die Event Correlation Engine anzutreiben.

Traditionelle SIEM-Lösungen können nur dann grundlegende Informationen zur Umgebung erfassen, wenn sie Informationen von externen Sicherheits-Tools Dritter erhalten. Weil dies zeitaufwendig ist, arbeiten traditionelle Lösungen daher eher langsam und erzeugen keinen Mehrwert für das Unternehmen.

Ohne Daten von Tools wie Intrusion Detection-Systemen (IDS), Host-basierenden Intrusion Detection-Systemen (HIDS), Schwachstellen-Scannern, Asset Inventories, NetFlow-Analysen etc. ist eine traditionelle SIEM-Lösung nur ein kunstvolles Werkzeug, das nichts Interessantes zu berichten hat.

2. Datenquellen richtig priorisieren

Nutzer sollten sich darüber im Klaren sein, welche Informationen aus den Daten der Sicherheitsvorfälle für sie am wichtigsten sind. Zunächst steht die Frage im Raum, warum dieses oder jenes Tool als erstes auftretende Events untersuchen soll? Welche Funktionen muss dieses Tool erfüllen? Welche Informationen soll das Tool für den Anwender sammeln? Wie wird der Anwender reagieren, wenn ein Sicherheitsvorfall auftritt? Welche Informationen wären für den Wirtschaftsprüfer relevant?

Bevor Unternehmen Log-Daten in ihre SIEM-Umgebung integrieren, sollten sie definieren, welche Informationen die SIEM-Lösung liefern soll. Müssen z.B. Sicherheitskontrollen des PCI-Umfelds, also von Verbindungen zu Peripheriegeräten, durchgeführt werden? Wenn ja, ist es förderlich, sich auf die Event-Daten sowie die schützenden Zugriffskontrollgeräte dieser Umgebung zu konzentrieren. Vergeuden Unternehmen dabei keine Zeit für unnötige Analysen der Rechenleistung des PCs, wird dieser Prozess schnell ablaufen.

3. Worst Case-Szenarien vor Augen haben

Alle Security-Experten verbringen Zeit damit, über die Worst Case-Szenarien nachzudenken, die in ihrem Beschäftigungsgebiet auftreten könnten. Auch Unternehmen sollten bedenken, welche Sicherheitsvorfälle auftreten können und was deren potenzielle Auswirkungen sind. Dementsprechend stellen Firmen im Anschluss ihr Incident Response-Programm auf. Probleme zu antizipieren und einen stabilen Plan in der Hinterhand zu haben, hilft Organisationen, einem Worst Case-Szenario nie unvorbereitet zu begegnen.

4. Bedrohungsanalyse ist ein „Must Have“

Anwender müssen jederzeit über neue Bedrohungen im Netzwerk informiert werden und bestmöglich auf diese reagieren. Demnach sollte die Bedrohungsanalyse zudem eine detaillierte Anleitung mit Anweisungen beinhalten, die dem Nutzer erklären, wie er auf welchen Alarm am besten reagiert. Ohne solide Threat Intelligence wird das Unternehmen gegenüber den gefährlichsten Threats keinen strategischen Schutzwall errichten können. Das Netzwerk ist dadurch angreifbar.

Auf der nächsten Seite lesen Sie die Tipps 5 und 6 für einen erfolgreichen SIEM-Einsatz und warum Anwender mehr von SIEM verlangen sollten.

(ID:42247372)

Weiterführende Inhalte