Echtzeitanalyse und Reaktion Was ist ein SIEM?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FAST LTA GmbH

Das Security Information and Event Management (SIEM) ermöglicht einen ganzheitlichen Blick auf die IT-Sicherheit, indem es Logfiles und verdächtige Ereignisse aus verschiedenen Quellen sammelt und auswertet. So kann in Echtzeit reagiert werden.

Ein Security Information and Event Management, kurz SIEM, ist ein softwarebasiertes Technologiekonzept aus dem Bereich des Sicherheits-Managements, mit dem ein ganzheitlicher Blick auf die IT-Sicherheit möglich wird. SIEM stellt eine Kombination aus Security Information Management (SIM) und Security Event Management (SEM) dar. Durch das Sammeln, Korrelieren und Auswerten von Meldungen, Alarmen und Logfiles verschiedener Geräte, Netzkomponenten, Anwendungen und Security-Systeme in Echtzeit werden Angriffe, außergewöhnliche Muster oder gefährliche Trends für Sicherheitsverantwortliche sichtbar. Auf Basis der gewonnenen Erkenntnisse können Unternehmen oder Organisationen schnell und präzise auf Bedrohungen reagieren. Das Security Information and Event Management nutzt Verfahren des maschinellen Lernens und der Künstlichen Intelligenz (KI). SIEM-Lösungen sind auch als Services aus der Cloud verfügbar.

Die passende SIEM-Lösung finden

Fünf wichtige Aspekte einer erfolgreichen SIEM-Implementierung

Vorteile eines SIEM

Durch den Einsatz des Security Information and Event Managements ergeben sich zahlreiche Vorteile. Zu diesen Vorteilen zählen:

• schnelle und zuverlässige Erkennung von Bedrohungen

• schnelle und angemessene Reaktion auf sicherheitsrelevante Ereignisse

• Einhaltung von gesetzlichen Vorgaben und Compliance-Regularien

• Einsparung von Personal im IT-Security-Umfeld durch Automatisierung

• nachträglicher Nachweis von Sicherheitsereignissen

• manipulations- und revisionssichere Speicherung aller sicherheitsrelevanten Ereignisse

Deshalb scheitern SIEM-Projekte

Die Top 10 Fehler bei einem SIEM

Funktion von SIEM

Die Grundidee des Security Information and Event Management ist es, alle für die IT-Sicherheit relevanten Daten an einer zentralen Stelle zu sammeln und durch Analysen Muster und Trends zu erkennen, die auf gefährliche Aktivitäten schließen lassen. Das Sammeln und die Interpretation der Daten erfolgen in Echtzeit. Sämtliche Informationen sind manipulations- und revisionssicher gespeichert.

Typische Quellen für das SIEM sind Teile der Netzwerkinfrastruktur wie Firewalls, Server, Router, IDS und IPS. Aber auch Endgeräte, Cloud-Dienste und Software-as-a-Service, Zugriffssysteme und -lösungen sowie Überwachungskameras können angebunden werden. Das Security Information and Event Management sorgt für die Normalisierung und Strukturierung aller gesammelten Daten. Durch das Korrelieren der Datensätze ist es beispielsweise möglich, Einbruchsversuche durch fehlerhafte Anmeldeversuche und/oder unerlaubte Zugriffe der Firewall zu erkennen. Für das Sammeln der Daten sind in der Regel Software-Agenten zuständig. Diese leiten die Informationen an eine zentrale Management-Station weiter. Die zentrale Station ist für die Speicherung, Normalisierung, Strukturierung und Auswertung der Daten zuständig. Die Analysen verwenden Regeln, Korrelations-Modelle, maschinelles Lernen und Künstliche Intelligenz, um Beziehungen zwischen den Einträgen herzustellen und Auffälligkeiten zu identifizieren. Einige Systeme führen eine Vorverarbeitung der Daten in den Software-Agenten durch, um die Menge an zu übertragenden Informationen zu reduzieren.

Cyberangriffe erkennen

Die Rolle von SIEM-Systemen in Zeiten von XDR

Die besten SIEM-Anbieter

Es gibt sehr, sehr viele Unternehmen, die dedizierte SIEM-Systeme anbieten oder SIEM-Funktionalitäten in ihre Plattformen integriert haben. Zu den bekanntesten kommerziellen Anbieter von SIEM-Systemen gehören unter anderem Splunk, IBM, LogRhythm, Microsoft, Sentinelone, Palo Alto Networks, Rapid7 und Arcsight.

Zuletzt haben die Leserinnen und Leser von Security-Insider 2024 für ihren liebsten Anbieter von SIEM und SOAR abgestimmt. Silber gewann Splung, Gold Palo Alto Networks und Platin-Gewinner war IBM.

SIEM vs. SOC vs. SOAR vs. XDR

Das Analystenhaus Gartner hat den Begriff Security Information and Event Management bereits im Jahr 2005 definiert. Mittlerweile gibt es weitere Technologiekonzepte, die zur Identifizierung und Abwehr von Bedrohungen dienen. So stellt sich die Frage, ob ein SOAR (Security Orchestration Automation and Responses) das SIEM ersetzen kann. Oder ob nicht doch ein XDR-System (Extended Detection and Response) oder ein Security Operations Center (SOC) besser wären.

Welches Modell für welches Unternehmen geeignet ist, hängt stark von den vorhandenen personellen, finanziellen und technischen Ressourcen ab. Alle Konzepte sind mittlerweile auch als as-a-Service erhältlich, wodurch sich Infrastrukturkosten reduzieren lassen. Dennoch kann ein eigenes SIEM in vielen Fällen eine sinnvolle Ergänzung sein, etwa zur tiefergehenden Analyse, Compliance-Berichterstattung oder bei hohen Datenschutzanforderungen.

Open Source SIEM-Tools

Neben kommerziellen Lösungen für ein Security Information and Event Management gibt es auch Alternativen mit offenem Quellcode. Bei Open Source SIEM profitieren Unternehmen von geringen oder keinen Lizenzkosten, haben volle Transparenz und Kontrolle über den Code der Lösung und können diese mit eigenen Korrelationsregeln, Dashboards und Integrationen flexibel erweitern.

Bekannte Open-Source-SIEM-Lösungen sind unter anderem:

• Wazuh

• TheHive und Cortex, die für die Integration miteinander konzipiert wurden

• Elastic Stack

• AlienVault OSSIM

• Security Onion

• SIEMonster

• Sagan

• PreludeOSS

• OSSEC

• Snort

SOAR und Managed Detection & Response auf dem Vormarsch?

SIEM und SOC werden von SOAR und MDR abgelöst

(ID:45583081)