IT-Sicherheit
SIEM
Security Information and Event Management
Ein SIEM sammelt sicherheitsrelevante Ereignisse aus unterschiedlichen Systemen und wertet sie gemeinsam aus. Dazu können Anmeldungen, Firewall-Meldungen und Ereignisse von Endgeräten gehören. Regeln und Analysen helfen, verdächtige Zusammenhänge zu erkennen.
Was bedeutet das im Unternehmen?
Die Aussagekraft hängt von den angeschlossenen Datenquellen und deren Qualität ab. Eine fehlende Quelle kann einen Teil des Geschehens unsichtbar machen. Regeln müssen zur Umgebung passen, damit Meldungen bearbeitbar bleiben. Außerdem sind Speicherung, Zugriff auf Protokolle und die Zuständigkeit für Alarme zu planen.
Ein Beispiel aus der Praxis
Ein Konto meldet sich ungewöhnlich an und greift kurz danach auf viele Dateien zu. Einzelne Systeme protokollieren die Vorgänge. Im SIEM werden sie miteinander in Beziehung gesetzt, sodass das Sicherheitsteam den Ablauf zusammenhängend prüfen kann.
Die Auswertung braucht verantwortliche Personen
Ein SIEM ist ein technisches Werkzeug. Ein SOC bezeichnet die dafür organisierte Sicherheitsarbeit mit Menschen und Abläufen. Ob und wie automatisch reagiert wird, hängt von den angebundenen Funktionen und den Freigaben ab.
Darauf kommt es an
- Datenquellen nach den zu erkennenden Vorfällen auswählen.
- Fehlende Meldungen und die Qualität der Daten überwachen.
- Alarmbearbeitung, Aufbewahrung und Zugriffsrechte festlegen.
Eine häufige Frage
Müssen möglichst alle Protokolle gesammelt werden?
Mehr Daten sind nicht automatisch hilfreicher. Entscheidend ist, welche Ereignisse für die vorgesehenen Prüfungen gebraucht werden. Datenmenge, Kosten und der Schutz enthaltener Informationen gehören zur Auswahl.
Herausgeber: IT Fabrik · Stand: