Der Echtzeit-Blick auf die IT-Security Wenn Millisekunden über IT-Sicherheit entscheiden

Anbieter zum Thema

Fsas Technologies GmbH

SIEM-Systeme bilden das zentrale Nervensystem der Cybersicherheit: Echtzeitanalyse, KI-gestützte Bedrohungserkennung und unbegrenzte Lookbacks ermöglichen proaktives Handeln. Erfahren Sie, wie skalierbare Architektur, effiziente Indexierung und ML-basierte Automatisierung selbst raffinierte Angriffe frühzeitig erkennen und entschlossen abwehren.

Security Information and Event Management (SIEM)-Systeme bilden das Herzstück moderner Cybersicherheit und stellen ein unverzichtbares Werkzeug für die Chief Information Security Officers (CISOs) dar. Als zentrales Nervensystem der IT-Sicherheitsarchitektur vereinen sie Sicherheitsprotokolle aus den verschiedensten Quellen, analysieren diese in Echtzeit und erkennen durch intelligente Korrelation potenzielle Bedrohungen – noch bevor diese kritische Ausmaße annehmen können. Doch reaktive Ansätze reichen nicht mehr aus. CISOs stehen vor der Herausforderung, das volle Potential ihrer Sicherheitssysteme auszuschöpfen: Die Kombination von Analysen nicht nur in Echtzeit, sondern auch über historische Daten hinweg und unter Abgleich externer Threat Intelligence.

Deshalb scheitern SIEM-Projekte

Die Top 10 Fehler bei einem SIEM

Die Herausforderung bei der Echtzeitverarbeitung

Bei der Erkennung und Reaktion auf Sicherheitsvorfälle kommt es auf Millisekunden an. Um Bedrohungen wirksam entgegenzuwirken, benötigen CISOs daher ein SIEM-System, das Protokolldaten in Echtzeit und in großem Umfang verarbeiten und abfragen kann. Hier sind unterschiedliche Parameter relevant.

• 1. Datenvolumen und -geschwindigkeit: Unternehmen generieren riesige Mengen an Protokolldaten aus verschiedenen Quellen, darunter Firewalls, Intrusion-Detection-Systeme und Endpoint-Lösungen. Diese müssen in Echtzeit erfasst, analysiert und ausgewertet werden, um relevante Signale vom Grundrauschen zu trennen, Anomalien zu erkennen und potenzielle Bedrohungen zu priorisieren. Vor allem KI-gestützte SIEMs sind hervorragend dazu geeignet, unterschwellige Muster in großen Datensätzen sofort zu erkennen und priorisierte Korrelationen zu ermöglichen.

• 2. Fortgeschrittene Bedrohungen: Hier geht es nicht nur um die Verarbeitung einer großen Anzahl von Vorfällen. Zero-Day-Exploits und APTs (Advanced Persistent Threats) können oft ausgeklügelte, vielschichtige Angriffe auslösen, die sofortige Aufmerksamkeit erfordern. Mit einem SIEM, das sofort signifikante Verhaltensmuster von Bedrohungen identifizieren kann, um eine ganzheitliche Sicht auf die Abfrageergebnisse in Echtzeit zu ermöglichen, reagieren Sicherheitsteams umgehend und kontextbezogen auf neue Bedrohungen und minimieren somit potenzielle Schäden.

• 3. Betriebliche Effizienz: Log-Abfragefunktionen in Echtzeit steigern die Effizienz von Sicherheitsmaßnahmen. Analysten können sofort Fehlalarme erkennen, Vorfälle untersuchen, fundierte Entscheidungen treffen und wichtige Informationen schnell dorthin übermitteln wo sie benötigt werden. So werden beispielsweise Firewalls angewiesen, die Kommunikation mit einem bestimmten Angriffsmuster zu blockieren. Dadurch wird die durchschnittliche Zeit bis zur Erkennung und Reaktion verkürzt.

Interview zu DORA und modellbasierten SIEM Use Cases

Wie DORA die Cyberabwehr von Finanzunternehmen revolutioniert

Vier Säulen der SIEM-Optimierung für Echtzeitanalysen

Um bei Protokollabfragen Echtzeitgeschwindigkeit zu erreichen, müssen jedoch mehrere Aspekte berücksichtigt werden:

Skalierbarkeit

Die SIEM-Plattform sollte horizontal skalierbar sein, um das zunehmende Volumen und die Vielfalt der von der Organisation generierten Logdaten zu bewältigen. Dies gilt insbesondere, wenn es sich um mehrere verteilte Logquellen handelt. Eine dynamische Skalierbarkeit erfordert auch eine automatische Lastverteilung, um Leistungsengpässe zu vermeiden und die Priorisierung kritischer Sicherheitsereignisse zu erleichtern. Dies ist angesichts der Komplexität und verteilten Natur sowohl von IT- als auch von OT-Systemen besonders wichtig.

Optimierung der Datenerfassung

Angesichts der Datenmenge, die in einem SOC erfasst wird, ermöglicht die Korrelation von Echtzeit- (oder Streaming-) Analysen mit der externen Threat Intelligence den Sicherheitsteams, kontextbezogene Sicherheitsereignisse zu analysieren und darauf zu reagieren, sobald sie auftreten. Durch die Arbeit mit einer Cloud-nativen Architektur können SOCs außerdem Ressourcen bei Bedarf sofort skalieren, während verlustfreie Komprimierungsalgorithmen dazu dienen, die Anforderungen an die Datenspeicherung zu reduzieren, ohne die Integrität zu beeinträchtigen. Effiziente Mechanismen zur Erfassung von Protokolldaten, wie Log Shipper, können zudem Verzögerungen bei der Verarbeitung und Indexierung eingehender Daten minimieren.

Indexierung und Suchoptimierung

Abfragesprachen sind komplex, oft herstellerspezifisch und erfordern jahrelange Erfahrung, um sie zu beherrschen. Fortgeschrittene Indizierungs- und Suchalgorithmen, die eine NLP-basierte Schnittstelle verwenden, werden schnell zu einer Notwendigkeit, um die Abfrageleistung zu beschleunigen. Techniken wie Caching oder Parallelverarbeitung steigern darüber hinaus die Geschwindigkeit von Protokollabfragen erheblich. Das SIEM-System muss zudem effiziente Such- und Abrufmechanismen für historische Daten bereitstellen, damit Analysten Informationen schnell abrufen können. Idealerweise funktioniert das innerhalb von Sekunden über Petabytes an Daten.

Integration von maschinellem Lernen

Die Menge der zu verarbeitenden Vorfälle übersteigt bei Weitem das , was „menschlich“ abgearbeitet werden kann. Durch den Einsatz von Modellen des maschinellen Lernens zur Erkennung von Anomalien und zur Bewertung von Bedrohungen bei Hunderttausenden oder Millionen von Vorfällen in Echtzeit erkennen SIEMs neu auftretende Bedrohungen deutlich schneller. Da KI in der Branche immer mehr Verbreitung findet, wird dies für die meisten Unternehmen zu einem Standardverfahren.

Mike Nichols und Jörg Hesske von Elastic im Gespräch

KI soll SIEM-Systeme ersetzen

Unbegrenzte Lookbacks: eine strategische Notwendigkeit

Erfolgreiche Cybersicherheitsstrategien erfordern ein sorgfältiges Zusammenspiel von Echtzeitgeschwindigkeit und der Fähigkeit, historische Daten auch über lange Zeitachsen hinweg zu analysieren. Während die Echtzeitanalyse entscheidend ist, um unmittelbare Bedrohungen zu erkennen und schnell darauf zu reagieren, ist die langfristige Speicherung und Analyse von Log-Protokollen für eine gründliche Bedrohungsbewältigung und das Einhalten regulatorischer Vorgaben unerlässlich. Viele Cyberangriffe ziehen sich über Wochen oder Monate hin, sodass CISOs auf historische Daten zugreifen müssen, um komplexe Angriffsketten rückwirkend nachvollziehen und deren Ursprung identifizieren zu können. Da die meisten SIEMs standardmäßig nur 90 Tage zurückblicken können, sind unbegrenzte Lookbacks notwendig, um entscheidende Informationen nicht zu übersehen. Dies ist besonders relevant, um rechtliche und branchenspezifische Compliance-Richtlinien zur Datenspeicherung und -aufbewahrung einzuhalten, die oft eine langfristige Protokollierung erfordern. Auch bei Prüfungen muss nachgewiesen werden, dass die notwendigen Sicherheitsmaßnahmen getroffen wurden. Gut konfigurierte SIEMs ermöglichen es deshalb, bei Bedarf detaillierte Audit Reports zu generieren. Sie sparen somit Zeit bei der Nachweisführung für die Prüfbehörden. Auch Threat Intelligence Feeds, die Informationen über neue Bedrohungen liefern, spielen hier eine wichtige Rolle. Indem historische Protokolle mit externer Threat Intelligence korreliert werden, können Unternehmen nicht nur feststellen, wer sie angreift, sondern auch, an welcher Stelle sie gegenüber spezifischen Bedrohungen verwundbar sind.

Fazit

Die Balance zwischen Echtzeitanalyse und umfassender Datenspeicherung lösen moderne CISOs durch eine mehrstufige Speicherstrategie: Aktuelle Daten bleiben in Hochleistungsspeichern schnell verfügbar, während historische Protokolle kosteneffizient in flexiblen Data Lakes archiviert werden. Diese Kombination ermöglicht nicht nur Echtzeitanalysen, sondern auch retrospektive Untersuchungen zur frühzeitigen Aufdeckung verborgener Bedrohungsmuster. Automatisierte Playbooks, die beide Zeitebenen verknüpfen, steigern dabei die Effizienz der Incident Response und ebnen den Weg zu einer proaktiveren Cybersicherheitsstrategie.

Über den Autor: Frank Lange ist Technical Director bei Anomali in Deutschland. Mit mehr als zwanzig Jahren einschlägiger Berufserfahrung berät er Kunden bei der Früherkennung von Bedrohungen im Bereich Security Operations. In seiner Laufbahn verantwortete Herr Lange mehrere Architect-Positionen wie beispielsweise bei iSIGHT Partners/FireEye für den Bereich Threat Intelligence oder bei ArcSight/Hewlett-Packard Enterprise für den Bereich Security Information and Event Management (SIEM).

(ID:50303075)