SIEM-Kaufratgeber

Protokoll-Daten zu auditieren, zu überprüfen und zu managen, ist alles andere als eine glamouröse Aufgabe – aber ein entscheidender Aspekt, um ein sicheres Unternehmensnetzwerk aufzubauen. Schließlich schaffen Occasion Logs oft eine sekundäre Angriffsfläche für Cyberkriminelle, die damit ihre Aktivitäten verschleiern wollen.

Vorgängen wie diesen treten Netzwerksicherheitsexperten mit Instruments aus dem Bereich Safety Info and Occasion Administration (SIEM) entgegen: Diese Werkzeuge bieten im Regelfall einen zusätzlichen Schutzschirm für Logs, indem sie sie auf einen Server oder Service auslagern und so verhindern, dass sie manipuliert oder gelöscht werden.

In diesem Ratgeber lesen Sie:

• welche Kriterien bei SIEM-Instruments wichtig sind,
• was bei diesen Lösungen mit Blick auf die Kosten zu beachten ist, und
• welche SIEM-Anbieter und -Lösungen führend sind.

Das richtige SIEM-Device auswählen

Eine passende SIEM-Lösung auszuwählen, ist essenziell, um geschäftskritische Systeme und Dienste zu überwachen. Aber auch, um:

• Daten für Authentifizierungszwecke bereitzustellen,
• die Menace Detection zu unterstützen, und
• SOAR-Plattformen Kontext zu liefern.

Die folgenden Bereiche, beziehungsweise Kriterien, sollten Sie mit Blick auf SIEM-Angebote unbedingt vor einem Kauf durchdenken.

Betriebsmodell

Um Funktionen schneller zu iterieren und hinzuzufügen, steht das Gros moderner SIEM-Lösungen inzwischen in einem Software program-as-a-Service (SaaS)-Modell zur Verfügung. Die unendliche Kapazität der Cloud erleichtert es den Anbietern dabei auch, Machine-Studying (ML)-Funktionen zu integrieren, die Referenzdaten in rauen Mengen benötigen, um Anomalien erkennen zu können. Es besteht grundsätzlich Einigkeit darüber, dass der SaaS-Ansatz dazu beigetragen hat, SIEM-Lösungen voranzubringen.

Dennoch sind einige Unternehmen darauf angewiesen, SIEM-Instruments On-Premises zu betreiben. In der Regel, weil sie Compliance-Vorschriften einhalten und in diesem Zuge Protokolle (und die damit zusammenhängenden Daten) in ihrer lokalen Infrastruktur vorhalten müssen. Deshalb gibt es immer noch einige SIEM-Optionen für den Einsatz vor Ort – darunter auch solide Open-Supply-Lösungen.

Analytics

Eine SIEM-Lösung ist nur so intestine wie die Informationen, die sie liefert: Log- und Occasion-Daten aus der Infrastruktur zu sammeln, ist nutzlos, wenn es nicht dazu beiträgt, Probleme zu erkennen und informierte(re) Entscheidungen zu treffen. Deswegen setzen moderne SIEM-Systeme auf Machine Studying, um Anomalien in Echtzeit zu erkennen und ein präzises Frühwarnsystem für potenzielle Angriffe sowie Anwendungs- und Netzwerkfehler zu etablieren.

Wie Ihre spezifischen Anforderungen an die Analysefähigkeiten einer SIEM-Lösung aussehen, hängt von mehreren Faktoren ab:

• Welche Systeme sollen überwacht werden?
• Welche Expertise stehen in der Organisation mit Blick auf Dashboards, Reportings und Untersuchungen zur Verfügung?
• Haben Sie bereits in eine Analytics-Plattform investiert und möchten diese integrieren?

Die Antworten auf diese Fragen können Sie dabei unterstützen, SIEM-Optionen einzugrenzen. Sollten Sie weder auf entsprechende Expertise, noch Lösungen zurückgreifen können, empfiehlt sich möglicherweise eine SIEM-Lösung mit einer umfangreichen Dashboard-Bibliothek – beziehungsweise ein Managed Service.  

Protokolle

Wie ein SIEM-System Daten verarbeitet, ist ein weiterer, wichtiger Aspekt mit Praxisbezug. Häufig extrahieren Software program-Agenten Protokoll- und Ereignisdaten von Servern und Workstations, während Netzwerkhardware und Cloud-Anwendungen sie über eine Integration oder eine API direkt an das SIEM „übergeben“ können. Eine grundlegende Frage ist in diesem Zusammenhang, ob das SIEM auch wichtige, externe Occasion-Informationen akkurat identifizieren kann.

Im Idealfall sollte das SIEM ausgereift genug sein, um Occasion-Daten aus den gängigsten Systemen zu parsen und dabei so genau sein, dass keine Anpassungen erforderlich sind und wichtige Particulars wie Occasion-Ranges oder betroffene Systeme herausgefiltert werden. Um zu vermeiden, dass Log-Einträge nicht korrekt geparst werden, empfiehlt sich zudem eine Lösung, die versatile Möglichkeiten bietet, Occasion-Daten zu verarbeiten, nachdem sie erfasst wurden.

Warnmeldungen

Ein wesentlicher Vorteil moderner SIEM-Lösungen ist die Möglichkeit, Systeme in Echtzeit zu überwachen. Allerdings ist das Characteristic überflüssig, wenn das SIEM selbst, beziehungsweise seine Alerts, nicht von einem menschlichen Experten ausgewertet werden. Mit Blick auf die Warnmeldungen und Benachrichtigungen besteht die Herausforderung vor allem darin, beim Volumen der Alerts Maß zu halten:

• Zu viele Warnmeldungen werden von den Benutzern entweder deaktiviert oder ignoriert.
• Zu wenige Alerts bergen die Gefahr, dass kritische Bedrohungen unter den Tisch fallen.

Auch mit Blick auf dieses Kriterium empfehlen sich versatile SIEM-Lösungen, die es ermöglichen, Alerts zu konfigurieren – zum Beispiel über Regeln, Schwellenwerte oder verschiedene Warnmethoden (SMS, E-Mail, Push-Nachrichten und Webhooks).

Rollenbasierter Zugriff

Rollenbasierte Zugriffskontrollen sind für große, weltweit tätige Unternehmen mit unterschiedlichen Enterprise-Segmenten und Applikationsteams unerlässlich. Dabei ist es nicht bloß ein Komfort-Characteristic, Admins, Entwickler und Datenanalysten nur Zugriff auf die Occasion-Logs zu gewähren, die sie benötigen. Vielmehr entspricht das dem Least-Privilege-Prinzip, das in einigen Branchen auch regulatorisch durchgesetzt wird.

Den Zugriff der Benutzer auf SIEM-Occasion-Daten beschränken zu können, begrenzt zudem den Impression kompromittierter Konten und trägt letztlich zum Schutz des gesamten Netzwerks bei. Schließlich bieten Occasion-Daten oft tiefe und detailreiche Einblicke in Applikations- und Service-Funktionalitäten – oder gar die Netzwerkkonfigurationen von Units. Diese Informationen könnten Cyberkriminelle nutzen, um Systeme auszuspähen und zu infiltrieren.

Compliance

Various, regulatorische Rahmenwerke – beispielsweise die DSGVO oder HIPAA – setzen nicht nur voraus, dass SIEM- oder ähnliche Systeme eingesetzt werden, sondern schreiben teilweise auch vor, wie die Lösung konfiguriert sein sollte. Sie sollten sich deshalb mit den für Ihre Organisation relevanten Anforderungen im Element vertraut machen. Dabei können unter anderem related sein:

• Aufbewahrungsfristen,
• Verschlüsselungsanforderungen,
• digitale Signaturen und
• Berichtspflichten.

Dabei sollten auch mögliche Audit-Elemente nicht unberücksichtigt bleiben: Die SIEM-Lösung Ihrer Wahl sollte die erforderlichen Dokumentationen und Reportings ausgeben können, die die Auditoren zufriedenstellen.  

Occasion-Korrelation

Die Möglichkeit, Protokolle aus unterschiedlichen (und/oder integrierten) Systemen in einer einzigen Ansicht zu korrelieren, ist ebenfalls ein guter Grund dafür, ein SIEM-System zu implementieren. Dieses sollte in der Lage sein, Log-Occasions von jeder Anwendungskomponente (Datenbank, Applikationsserver) zu verarbeiten (selbst wenn sie auf mehrere Hosts verteilt sind), und diese in einem Data Stream zu korrelieren. Das macht nachvollziehbar, wie die Occasions der Komponenten miteinander zusammenhängen.

In vielen Fällen können korrelierte Ereignisprotokolle eingesetzt werden, um (Privilege-Escalation-)Angriffe zu erkennen und ihren Impression über die verschiedenen Netzwerksegmente hinweg zu tracken. Das wird auch deswegen immer wichtiger, weil Unternehmen zunehmend auf die Cloud oder Container-basierte Infrastrukturen setzen.  

Ökosysteme

Ein SIEM mit einem robusten, ausgereiften Ökosystem ermöglicht es, verschiedene Funktionen zu verbessern, beziehungsweise zu erweitern. Wenn das SIEM direkt (oder über Plugins) in andere Systeme integriert werden kann, erleichtert das die Arbeit erheblich. Neben den Systemverbesserungen, die durch ein SIEM-Ökosystem erzielt werden können, gibt es noch weitere Enterprise Advantages. So kann eine moderne, ausgereifte SIEM-Lösung:  

• die Nachfrage nach Schulungen steigern,
• Help auf Neighborhood-Foundation fördern, und
• den Einstellungsprozess vereinheitlichen.

API-Interaktion

Ein Ökosystem wird nicht allen Anforderungen gerecht: Falls Ihr Unternehmen Software program entwickelt oder in DevOps-Initiativen investiert hat, kann die Möglichkeit, programmgesteuert mit einer SIEM-Lösung zu interagieren, einen wesentlichen Unterschied machen.

Statt wertvolle Entwicklungszeit in Logging-Funktion zu stecken, kann das SIEM-System Ereignisdaten aus benutzerdefiniertem Code aufnehmen, korrelieren und analysieren.

Künstliche Intelligenz (KI)

SIEM scheint ein maßgeschneiderter Anwendungsfall für KI-gestützte Analysen – entsprechend scheuen sich die Anbieter nicht, entsprechende Funktionen in ihre Lösungen zu implementieren. Die fokussieren sich im Allgemeinen auf die Bereiche Analytics und Alerts. KI-fähige SIEM-Systeme können mit Cloud-Daten-Feeds einer Vielzahl von Anbietern und Quellen integriert werden. Das ermöglicht, Occasion-Daten automatisiert mit Kontext auszustatten und dafür zu nutzen, um:

• Ereignisse zu bewerten,
• Angriffsketten zu identifizieren und
• Incident-Response-Pläne zu erstellen.

Mit Blick auf KI-fähige SIEM-Lösungen kann auch das Thema Betriebsmodell eine Rolle spielen: Einige On-Premises-Angebote erfordern unter Umständen, KI-Workloads an Cloud-Companies auszulagern.

SIEM-Kosten

Wenn es um Safety Info and Occasion Administration geht, sollten Sie den Gürtel nicht unbedingt enger schnallen – schließlich möchte wohl niemand im Angriffsfall am falschen Ende gespart haben. Natürlich sind die Kosten auch im Fall von SIEM-Lösungen ein Faktor – bei der Berechnung gilt es allerdings auf Feinheiten zu achten. SIEM-Lösungen, die in Type eines Cloud-Service angeboten werden, stehen quick immer in einem Abo-Modell zur Verfügung. Dabei können jedoch auch Nutzungsgebühren anfallen – beispielsweise für:

• das Volumen der Occasion-Daten oder
• die Anzahl der überwachten Endpunkte.

Achten Sie bei Plattformen, die mit einer Open-Supply-Lizenz angeboten werden, zudem auf versteckte Kosten (beispielsweise für Help) und stellen Sie sicher, dass die gewählte Lösung sämtliche relevanten, geschäftlichen Anforderungen erfüllt.

Wenn Sie Ihr persönliches SIEM-Kandidatenfeld auf diejenigen eingegrenzt haben, die die benötigten Funktionen bieten, vergleichen Sie die voraussichtlich anfallenden Abonnement- und Nutzungsgebühren im Element.

SIEM-Anbieter & -Lösungen

Der Markt für SIEM-Lösungen ist reich an Optionen. Um Ihnen den Einstieg in die Device-Recherche zu erleichtern, haben wir einige, wichtige SIEM-Anbieter, respektive -Produkte, für Sie zusammengestellt:

• Datadog Cloud-SIEM ist eine ausgereifte SIEM-Suite, die sämtliche wichtigen Bereiche umfasst und mehr als 800 Integrationen sowie über 350 vorgefertigte Detection-Regeln bietet.
• Elastic Logstash ist keine echte SIEM-Plattform – das Open-Supply-Device (in erster Linie für die DevOps-Welt konzipiert) ermöglicht es aber, Log-Occasions aus einer Vielzahl von Quellen zu analysieren und zu verarbeiten.
• Exabeam LogRhythm SIEM ist einem Zusammenschluss der Sicherheitsanbieter Exabeam und LogRythm entsprungen und zeichnet sich in erster Linie durch ein umfassendes Ökosystem und vorgefertigte Compliance-Frameworks aus.
• Fortinet FortiSIEM ermöglicht Asset-Erkennung und rollenbasierten Zugriff, sowie Person and Entity Conduct Analytics (UEBA) – und kann sowohl integriert werden, um Occasions zu erfassen, als auch, um automatisiert auf diese zu reagieren.
• Huntress Managed SIEM ist ein solides, modernes Managed SIEM von einem aufstrebenden Anbieter, dessen Analysten und Safety Engineers interne Groups entlasten können.
• IBM QRadar SIEM ist in der Lage, Datenmengen und Funktionen im Enterprise-Format zu bewältigen, verfügt über eine integrierte Analytics-Engine, KI-Funktionen und bietet Help für mehr als 500 Integrationen.
• LogPoint SIEM & SOAR setzt UEBA für Menace Modeling und Machine Studying ein, unterstützt automatisierte Übersetzungen sowie wichtige Compliance-Requirements und korreliert Ereignisse auch mit dem MITRE ATT&CK-Framework.  
• Microsoft Sentinel ist in der Lage, Ereignisse sowohl von lokalen, als auch von Cloud- Ressourcen einzuspeisen, zu korrelieren und zu analysieren – dabei hilft inzwischen auch die KI in Type von Microsofts Safety Copilot.
• OpenText Enterprise Safety Supervisor kann alle Anforderungen an ein Enterprise-SIEM erfüllen, bietet zahlreiche Integrationen mit Drittanbieter-Systemen und umfassenden Help für Automatisierung.
• RSA NetWitness bietet ebenfalls various Enterprise-SIEM-Funktionen, zeichnet sich aber vor allem durch seine integrierten Encryption-Instruments aus, die Help für verschlüsselte Occasion-Daten (oder Netz-Site visitors) bieten.
• SentinelOne Singularity AI SIEM setzt auf State-of-the-Artwork-Techniken, um Daten zu erfassen und zu filtern, liefert robuste Analysen und verspricht intuitive Automatisierungen.
• SolarWinds Safety Occasion Supervisor bietet zwar weder ML-basierte Datenanalysen, noch kann es in Sachen Integrationen mit den anderen hier aufgeführten Optionen mithalten – dafür bietet es USB Machine Monitoring und beeindruckende Compliance-Reporting-Fähigkeiten.
• Splunk bietet seine SIEM-Plattform, die sich insbesondere durch ihr Ökosystem (beziehungsweise ihren App Retailer) auszeichnet, in zwei Versionen an: Splunk Enterprise für den On-Premises-Einsatz und Splunk Cloud als SaaS-Modell.
• Trellix Enterprise Safety Supervisor stellt Benutzern umsetzbare Warnmeldungen zur Verfügung und legt den Fokus auf Flexibilität, wenn es um Architektur und Integrationen geht.

Sie wollen weitere interessante Beiträge rund um das Thema IT-Sicherheit lesen? Unser kostenloser Publication liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.