Neue Herausforderungen SIEM wird zu Big Data Security Analytics

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Cohesity GmbH

Die Menge und Vielfalt sicherheitsrelevanter Informationen stellt ebenso eine Herausforderung für SIEM-Lösungen dar wie die notwendige Geschwindigkeit bei der Datenanalyse. SIEM-Lösungen machen deshalb zunehmend Gebrauch von Big Data Analytics.

Wie wichtig ein SIEM-System für die IT-Sicherheit eines Unternehmens ist, zeigt ein Blick auf die üblichen Funktionen, die weit über das Management sicherheitsrelevanter Informationen und Ereignisse gehen:

• Ein SIEM-System sammelt sicherheitsrelevante Informationen aus zahlreichen Quellen (wie Netzwerkkomponenten, Serverbetriebssysteme, Clientbetriebssysteme, Datenbanken, Sicherheitssysteme, Speichersysteme und Applikationen).

• Dazu verfügen SIEM-Lösungen über spezielle Schnittstellen oder Konnektoren, auch Datensammler genannt.

• Die verschiedenen Daten werden aufbereitet, ausgewertet und miteinander verknüpft, um mögliche Zusammenhänge von Ereignissen erkennen zu können.

• Entsprechend bestimmter Richtlinien, Prioritäten und Schwellwerte erzeugt ein SIEM-System Meldungen und Warnungen für definierte Empfänger, um auf mögliche Störungen und Gefahren hinzuweisen.

• Berichte werden automatisch und auf Anfrage hin erzeugt, meist für verschiedene Zielgruppen wie IT-Administratoren oder Mitglieder des Managements. Die Berichte helfen auch im Rahmen von Compliance-Dokumentationen.

• Auch definierte IT-Sicherheitslösungen können mit Warnungen durch ein SIEM-System versorgt werden, damit eine entsprechende Abwehrreaktion aktiviert werden kann.

• Zusätzlich bieten SIEM-Systeme meist eine Weboberfläche für entsprechend berechtigte Nutzer und zeigen dort Statusübersichten (Dashboards) zur IT-Sicherheit.

• Schließlich bieten SIEM-Lösungen auch Recherchemöglichkeiten und Archivschnittstellen, damit im Verdachtsfall oder nach erkanntem Angriff zurückliegende Ereignisse untersucht werden können. Damit unterstützen sie die IT-Forensik und Beweissicherung.

SIEM-Lösungen müssen sich hohen Anforderungen stellen

An die Leistungsfähigkeit der genannten SIEM-Funktionen werden zunehmend hohe Forderungen gestellt, weniger von den Nutzern, als vielmehr bedingt durch die technische Entwicklung. Die Zahl der Endgeräte, der angebundenen Nutzer und der Anwendungen nimmt immer weiter zu. Cloud-Dienste, Social-Business-Plattformen und mobile Endgeräte erhöhen die Vielfalt an Protokolldaten und Sicherheitsinformationen.

Die Verschärfung der Bedrohungslage durch immer komplexere und raffiniertere Angriffe (wie Advanced Persistent Threats, APTs) macht eine sehr schnelle Analyse der sicherheitsrelevanten Daten notwendig, um Bedrohungen zeitnah erkennen und abwehren zu können oder aber um zumindest den Schaden erfolgreicher Attacken so klein wie möglich zu halten.

Es dürfen keine Tage, nicht einmal mehr Stunden verstreichen, bis ein Angriff auffällt. Ziel muss es sein, innerhalb weniger Minuten die Bedrohung festzustellen und die notwendigen Maßnahmen einleiten zu können.

Big Data Analytics unterstützt die Security Intelligence

Wenn es um die Analyse großer, heterogener Datenmengen in sehr kurzer Zeit geht, kommen zunehmend Big-Data-Analysen zum Einsatz. Als typische Anwendungsbereiche von Big Data Analytics nennt der Branchenverband BITKOM zum Beispiel die Analyse von Verbindungsdaten aus der Telekommunikation, Zugriffsstatistiken auf Webseiten oder wissenschaftlichen Daten aus der Klimaforschung.

Doch auch sicherheitsrelevante Daten sind ein wichtiger Einsatzbereich für Big-Data-Analysen. Tatsächlich entwickeln sich viele SIEM-Lösungen in Richtung sogenannter Big Data Security Analytics.

SIEM-Lösungen mit Big-Data-Funktionen

Ob eine SIEM-Lösung bereits Big-Data-Funktionalitäten bietet oder nicht, lässt sich leider nicht im Namen der Lösung erkennen. Wie die folgende Übersicht für den deutschen Markt zeigt, sucht man im Namen der Lösungen den Hinweis Big Data meist vergeblich.

Individuelle Anforderungen prüfen

Welche SIEM-Lösung am besten geeignet ist, sollten Anwenderunternehmen für sich genau prüfen. Hinweise können Untersuchungen der Marktforscher wie Gartner geben. Zusätzlich sollten Unternehmen die Leistungen der sie interessierenden SIEM-Lösung abgleichen mit der internen IT-Infrastruktur.

Nur wenn die Log-Dateien aller relevanten, eigenen IT-Systeme auch unterstützt werden und in die Auswertung des SIEM-Systems einfließen, lassen sich Insellösungen und „blinde Flecken“ in der Angriffserkennung wirklich vermeiden. Das jeweilige Datenblatt des SIEM-Systems gibt in der Regel zu den unterstützten Systemen (Datenquellen) und vorhandenen Schnittstellen Auskunft.

Hilfreich ist es in jedem Fall, auch das Angebot von Demo- oder Testversionen zu nutzen, wie es sie zum Beispiel für Fortinet FortiAnalyzer, LogPoint, Solarwinds oder HP ArcSight gibt. So kann man sich einen Eindruck von der Bedienung und der Übersichtlichkeit der Lösung verschaffen, die durchaus bei den verschiedenen Anbietern sehr unterschiedlich ist

Unternehmen, denen der Betrieb eines SIEM-Systems zu aufwändig erscheint, müssen auf die Vorteile einer Security Intelligence nicht verzichten.

Dieser Beitrag stammt ursprünglich aus unserem eBook „SIEM im Überblick“. Die Links wurden dabei auf den neuesten Stand gebracht und/oder auf Übersichtsseiten ausgerichtet.

(ID:43784565)