Was ist ein SIEM System? (Security Information and Event Management)

Vorteile von SIEM-Systemen

Zentrale Sammlung von Sicherheitsinformationen

SIEM-Systeme bieten die Möglichkeit, Sicherheitsinformationen aus unterschiedlichen Quellen innerhalb einer Organisation zentral zu sammeln. Dies ermöglicht IT-Teams, einen umfassenden Überblick über die Sicherheitslage zu erhalten und mögliche Schwachstellen oder Bedrohungen frühzeitig zu erkennen. Durch diese zentrale Sammlung werden redundante Datenbanken vermieden und ein konsistenter Informationspool geschaffen.

In der Praxis können SIEM-Systeme Logdaten und Sicherheitsinformationen aus einer Vielzahl von Quellen sammeln, darunter:

• Firewall-Logs: Informationen über erlaubte und blockierte Verbindungen sowie verdächtige Aktivitäten. Intrusion Detection System (IDS) und Intrusion Prevention System (IPS) Logs: Meldungen zu erkannten und verhinderten Angriffsversuchen.
• Webserver-Logs: Informationen über HTTP-Anfragen und Antworten, einschließlich möglicher Angriffsversuche wie SQL-Injection oder Cross-Site-Scripting.
• Betriebssystem-Logs: Ereignisprotokolle von Windows, Linux oder anderen Betriebssystemen, die Informationen über An- und Abmeldungen, Systemfehler und Änderungen an Systemkonfigurationen enthalten.
• Anwendungslogs: Protokolle von Anwendungen oder Diensten, die Informationen über ihre Ausführung, mögliche Fehler oder Sicherheitsereignisse enthalten.
• Authentifizierungs- und Autorisierungslogs: Informationen über Zugriffsversuche, erfolgreiche und fehlgeschlagene Anmeldungen sowie Änderungen an Benutzerkonten und Berechtigungen.

Verbesserte Reaktionszeiten bei Sicherheitsvorfällen

Durch die Echtzeit-Überwachung und Analyse von Sicherheitsereignissen ermöglichen SIEM-Systeme schnellere Reaktionszeiten bei Sicherheitsvorfällen. Die kontinuierliche Überwachung und Korrelation von Daten aus verschiedenen Quellen führt zur schnelleren Identifikation von Angriffen und Schwachstellen. Dadurch können Sicherheitsteams sofort Maßnahmen ergreifen, um mögliche Schäden zu minimieren und die Ausbreitung von Angriffen einzudämmen.

Erkennung von Anomalien und Mustern

Ein wesentlicher Vorteil von SIEM-Systemen ist die Fähigkeit, Anomalien und Muster im Netzwerkverkehr und Benutzerverhalten zu erkennen. Durch die Analyse von Daten und die Anwendung von maschinellem Lernen können SIEM-Systeme ungewöhnliche Aktivitäten identifizieren, die auf Sicherheitsbedrohungen oder interne Missstände hinweisen können. Dies ermöglicht Organisationen, proaktiv gegen potenzielle Bedrohungen vorzugehen und ihre Sicherheitsstrategie kontinuierlich zu optimieren.

Erfüllung von Compliance-Anforderungen

SIEM-Systeme unterstützen Organisationen dabei, Compliance-Anforderungen in Bezug auf IT-Sicherheit und Datenschutz zu erfüllen. Durch die zentrale Sammlung und Analyse von Sicherheitsinformationen können SIEM-Systeme detaillierte Berichte erstellen, die den Nachweis der Einhaltung gesetzlicher Vorschriften und branchenspezifischer Standards erleichtern. Dies reduziert den Aufwand für Audits und ermöglicht es Unternehmen, mögliche Sanktionen oder Strafen zu vermeiden.

• TISAX: Ein Sicherheitsstandard für Organisationen, die als Lieferant oder Dienstleister der Automobilindustrie sicherheitsrelevante Daten verarbeiten, speichern oder übertragen. SIEM-Systeme helfen bei der Überwachung und Analyse von Daten, um die Einhaltung der VDA ISA Anforderungen zu gewährleisten.
• ISO/IEC 27001: Ein internationaler Standard für Informationssicherheits-managementsysteme (ISMS). SIEM-Systeme unterstützen Unternehmen bei der Identifizierung und Bewertung von Risiken sowie bei der Implementierung von Sicherheitskontrollen gemäß diesem Standard.
• PCI DSS (Payment Card Industry Data Security Standard): Ein Sicherheitsstandard für Organisationen, die Kreditkartendaten verarbeiten, speichern oder übertragen. SIEM-Systeme helfen bei der Überwachung und Analyse von Daten, um die Einhaltung von PCI DSS-Anforderungen zu gewährleisten.
• HIPAA (Health Insurance Portability and Accountability Act): Ein US-amerikanisches Bundesgesetz, das den Schutz von Patientendaten und die Einhaltung von Datenschutzbestimmungen für Organisationen im Gesundheitswesen regelt. SIEM-Systeme können dazu beitragen, den Schutz von Patientendaten sicherzustellen und Compliance-Berichte für HIPAA-Audits zu erstellen.
• DSGVO/GDPR (General Data Protection Regulation): Die Datenschutz-Grundverordnung der Europäischen Union, die den Schutz personenbezogener Daten von EU-Bürgern regelt. SIEM-Systeme können Organisationen dabei unterstützen, GDPR-Anforderungen in Bezug auf Datensicherheit und Datenschutzmanagement zu erfüllen.

Automatisierung und Orchestrierung von Sicherheitsprozessen

SIEM-Systeme ermöglichen die Automatisierung und Orchestrierung von Sicherheitsprozessen, was die Effizienz und Effektivität von Sicherheitsteams steigert. Durch die Integration mit anderen Sicherheitstools und die Nutzung von Automatisierungsfunktionen können Routineaufgaben und wiederkehrende Prozesse automatisiert werden. Dies ermöglicht es Sicherheitsteams, sich auf die Analyse und Bewertung von Sicherheitsvorfällen zu konzentrieren und so besser auf aktuelle und zukünftige Bedrohungen vorbereitet zu sein.

Integration verschiedener Infrastrukturen

Eine effektive Integration von Infrastrukturen ist entscheidend, um einen umfassenden Überblick über die Sicherheit eines Unternehmensnetzwerks zu erhalten. Es ist essenziell zu verstehen, welche Gründe es für die Integration verschiedener Infrastrukturen gibt, welche Arten von Sicherheitsereignissen sie erzeugen und welche Angriffe mithilfe der korrelierten Logs erkannt werden können.

Netzwerkgeräte

Netzwerkgeräte wie Router, Switches und Firewalls sind grundlegende Komponenten einer Unternehmensinfrastruktur. Sie sind für die Steuerung und Überwachung des Datenverkehrs verantwortlich. Die Integration von Netzwerkgeräten in ein SIEM-System ist wichtig, um verdächtige Aktivitäten und Anomalien im Datenverkehr zu erkennen. Sicherheitsereignisse, die von diesen Geräten erzeugt werden, können beispielsweise auf DoS-Angriffe, Port-Scanning oder unautorisierten Zugriff hindeuten. Durch die Analyse der korrelierten Logs können Angriffe wie Man-in-the-Middle, DDoS und Zero-Day-Exploits erkannt werden.

Server und Workstations

Server und Workstations sind entscheidend für den Betrieb eines Unternehmens und stellen daher ein attraktives Ziel für Angreifer dar. Die Integration von Servern und Workstations in ein SIEM-System ermöglicht die Überwachung von Dateizugriffsprotokollen, Anmeldeaktivitäten und Systemereignissen. Die erzeugten Sicherheitsereignisse können auf unautorisierten Zugriff, Datenlecks oder Malware-Infektionen hindeuten. Durch die Analyse der korrelierten Logs können Angriffe wie Ransomware, Pass-the-Hash und Insider-Bedrohungen erkannt werden.

Cloud-Umgebungen

Mit der zunehmenden Verlagerung von Unternehmensressourcen in die Cloud ist es wichtig, auch Cloud-Umgebungen in SIEM-Systeme zu integrieren. Dies ermöglicht die Überwachung von Zugriffsprotokollen, Datenübertragungen und Konfigurationsänderungen. Sicherheitsereignisse aus der Cloud können auf Datenverstöße, Missbrauch von Zugriffsrechten oder Kontoübernahmen hindeuten. Mithilfe der Analyse der korrelierten Logs können Angriffe wie Cloud-Hijacking, Cross-Site Scripting und Brute-Force erkannt werden.

Anwendungen und Datenbanken

Anwendungen und Datenbanken enthalten häufig vertrauliche und geschäftskritische Informationen, die für Angreifer von großem Interesse sind. Durch die Integration von Anwendungen und Datenbanken in ein SIEM-System können Sicherheitsereignisse wie fehlgeschlagene Anmeldeversuche, unberechtigte Datenabfragen und Änderungen an Datenbankstrukturen überwacht werden. Die Analyse der korrelierten Logs ermöglicht die Erkennung von Angriffen wie SQL-Injection, Cross-Site Request Forgery und Datenmanipulation.

IoT-Geräte und industrielle Steuerungssysteme

IoT-Geräte und industrielle Steuerungssysteme (ICS) sind zunehmend vernetzt und stellen daher potenzielle Angriffsziele dar. Die Integration dieser Geräte in ein SIEM-System ist wichtig, um die Sicherheit dieser Systeme zu gewährleisten. Sicherheitsereignisse, die von IoT-Geräten und ICS erzeugt werden, können auf Manipulationen, unberechtigten Zugriff oder Sabotage hindeuten. Durch die Analyse der korrelierten Logs können Angriffe wie Stuxnet, Mirai-Botnet und Industrialspionage erkannt werden. Die Überwachung von von solchen IoT Netzen ist insbesondere für Unternehmen mit Fernwirktechnik wie bspw. Energiedienstleister oder Stadtwerke wichtig.

Regelerstellung und Mapping auf das MITRE ATT&CK Framework

In diesem Kapitel werden die Herausforderungen bei der Erstellung von SIEM-Regeln unter besonderer Berücksichtigung von herstellerunabhängigen Entwicklung diskutiert. Dabei wird auf das MITRE ATT&CK Framework eingegangen und wie es bei der Auswahl von Taktiken, Techniken und Verfahren sowie bei der Erstellung von Korrelationsregeln hilfreich sein kann. Zudem wird die Minimierung der Falsch-Positiv-Rate thematisiert.

Das MITRE ATT&CK Framework

Das MITRE ATT&CK (Adversarial Tactics, Techniques & Common Knowledge) Framework ist eine umfassende Wissensbasis, die eine Sammlung von Taktiken, Techniken und Verfahren zur Beschreibung von Cyberangriffsverhalten enthält. Das Framework bietet eine strukturierte und konsistente Herangehensweise an die Analyse von Cyberbedrohungen, was es Sicherheitsexperten ermöglicht, effektivere und skalierbare SIEM-Regeln zu entwickeln.

Auswahl von Taktiken, Techniken und Verfahren

Die Auswahl der richtigen Taktiken, Techniken und Verfahren (TTPs) ist entscheidend für den Erfolg einer SIEM-Regel. Dabei sollte zunächst ein Verständnis für die spezifischen Bedrohungen entwickelt werden, denen eine Organisation ausgesetzt ist. Die Analyse von Bedrohungsinformationen, wie z.B. Threat Intelligence Reports oder Penetration Tests, kann dazu beitragen, relevante Bedrohungen zu identifizieren. Anschließend können diese TTPs im MITRE ATT&CK Framework nachgeschlagen und deren Beschreibungen und Empfehlungen zur Erkennung und Abwehr herangezogen werden.

Erstellung von Korrelationsregeln

Korrelationsregeln sind ein wesentlicher Bestandteil von SIEM-Lösungen. Sie ermöglichen es, Muster von Ereignissen zu erkennen, die auf Angriffe oder verdächtige Aktivitäten hindeuten. Die Erstellung von Korrelationsregeln basierend auf dem MITRE ATT&CK Framework bietet eine strukturierte Methode, um effektive und zielgerichtete Regeln zu entwickeln. Dabei sollten die folgenden Schritte beachtet werden:

• Identifizieren von relevanten Datenquellen und Log-Informationen.
• Parsen und korrektes Tokenisieren der entsprechenden Ereignisprotokolle
• Festlegen von Schwellenwerten und Bedingungen für die Regeln.
• Testen der Regeln in einer kontrollierten Umgebung, um ihre Wirksamkeit zu überprüfen.

Minimierung der Falsch-Positiv-Rate

Falsch-Positive stellen eine Herausforderung für die Effizienz und Effektivität von SIEM-Systemen dar, da sie Ressourcen binden und die Aufmerksamkeit der Analysten von tatsächlichen Bedrohungen ablenken können. Um die Falsch-Positiv-Rate zu minimieren, sollten Korrelationsregeln so spezifisch wie möglich gestaltet werden. Dies kann durch die Verwendung von mehreren Bedingungen und Schwellenwerten sowie durch die kontinuierliche Überprüfung und Anpassung der Regeln erreicht werden. Es ist wichtig, ein Gleichgewicht zwischen der Reduzierung von Falsch-Positiven und der Sicherstellung einer effektiven Erkennung von Bedrohungen zu finden. Eine zu strenge Regelsetzung kann dazu führen, dass echte Bedrohungen übersehen werden, während zu lockere Regeln eine hohe Anzahl von Falsch-Positiven verursachen können.

Komplexität der Alarmbearbeitung

Die effektive Alarmbearbeitung in einem SIEM-System ist der kritische Faktor für die Sicherheit von IT-Netzwerken und -Systemen. In diesem Kapitel werden die verschiedenen Aspekte der Alarmbearbeitung in einem SIEM beleuchtet und erläutert, wie diese Komponenten zusammenwirken, um Sicherheitsexperten dabei zu helfen, Bedrohungen effektiv zu erkennen und darauf zu reagieren.

Unterscheidung zwischen echten Bedrohungen und Falschmeldungen

Ein zentrales Problem bei der Alarmbearbeitung in einem SIEM besteht darin, echte Bedrohungen von Falschmeldungen zu unterscheiden. Falschmeldungen, auch als False Positives bekannt, sind Alarme, die fälschlicherweise ausgelöst werden, obwohl keine tatsächliche Bedrohung vorliegt. Sie können durch ungewöhnliche, aber harmlose Aktivitäten oder Konfigurationsfehler verursacht werden. Eine hohe Anzahl von Falschmeldungen kann dazu führen, dass Sicherheitsteams wertvolle Zeit und Ressourcen verschwenden und echte Bedrohungen übersehen. Um echte Bedrohungen von Falschmeldungen zu unterscheiden, ist es wichtig, Korrelationen zwischen verschiedenen Alarmen und Ereignissen zu analysieren und auf bekannte Angriffsmuster zu achten.

Priorisierung von Alarmen

In vielen Fällen kann ein SIEM-System eine große Anzahl von Alarmen generieren, die das Sicherheitsteam überwältigen können. Daher ist es entscheidend, Alarme effektiv zu priorisieren, um sicherzustellen, dass die dringendsten Bedrohungen zuerst behandelt werden. Priorisierungskriterien können die Schwere der Bedrohung, die potenzielle Auswirkung auf das Unternehmen oder die Wahrscheinlichkeit eines erfolgreichen Angriffs beinhalten. Eine effektive Priorisierung hilft Sicherheitsteams, ihre Ressourcen optimal einzusetzen und schneller auf kritische Bedrohungen zu reagieren.

Automatisierte Reaktionen und manuelle Eingriffe

Moderne SIEM-Systeme bieten Möglichkeiten zur Automatisierung von Reaktionen auf bestimmte Alarme, um die Reaktionszeit zu verkürzen und die Arbeitslast des Sicherheitsteams zu reduzieren. Automatisierte Reaktionen können beispielsweise die Isolierung von betroffenen Systemen, das Blockieren verdächtiger IP-Adressen oder das Zurücksetzen von Passwörtern umfassen. Manuelle Eingriffe sind jedoch weiterhin erforderlich, um komplexe Bedrohungen zu bewerten und geeignete Gegenmaßnahmen einzuleiten. Eine ausgewogene Kombination aus automatisierten Reaktionen und manuellen Eingriffen trägt dazu bei, die Effektivität und Effizienz der Alarmbearbeitung zu maximieren.

Verbesserung der Alarmqualität durch fortlaufende Anpassung

Ein effektives SIEM-System sollte kontinuierlich angepasst und optimiert werden, um die Alarmqualität zu verbessern und die Anzahl der Falschmeldungen zu reduzieren. Eine kontinuierliche Weiterentwicklung kann durch verschiedene Maßnahmen erreicht werden:

• Die regelmäßige Überprüfung und Aktualisierung der Alarmregeln stellt sicher, dass sie den aktuellen Bedrohungslandschaften und internen Netzwerkanforderungen entsprechen. Dies hilft, überholte Regeln zu entfernen, die möglicherweise Falschmeldungen verursachen, und neue Regeln hinzuzufügen, die auf neu entdeckte Angriffsmuster abzielen.
• Die Sensibilität der Alarme kann angepasst werden, um die Anzahl der Falschmeldungen zu reduzieren und die Erkennungsgenauigkeit zu erhöhen. Beispielsweise kann die Schwellenwert-Einstellung für bestimmte Alarme erhöht oder verringert werden, um sicherzustellen, dass nur relevante Ereignisse gemeldet werden.
• Die Integration von externer Bedrohungsintelligenz, wie z. B. Indicators of Compromise (IOCs) und Informationen über bekannte Angreifer, kann dazu beitragen, die Alarmqualität zu verbessern, indem sie zusätzliche Kontextinformationen bereitstellt. Diese Informationen können dazu verwendet werden, Alarme besser zu priorisieren und gezieltere Reaktionen auf Bedrohungen zu ermöglichen.
• Sicherheitsteams sollten regelmäßig Feedback zur Alarmqualität geben und Anpassungen vorschlagen. Dieses Feedback kann dazu verwendet werden, die Alarmregeln und Einstellungen zu optimieren und die Alarmbearbeitung effektiver und effizienter zu gestalten.

Durch die kontinuierliche Weiterentwicklung und Anpassung von SIEM-Systemen können Unternehmen die Alarmqualität verbessern und die Effektivität ihrer Sicherheitsmaßnahmen steigern. Dies führt letztendlich zu einer besseren Erkennung und Abwehr von Bedrohungen und einem höheren Sicherheitsniveau für das gesamte Unternehmen.