Security Information and Event Management
SIEM

INTELLIGENZ DURCH EREIGNISPROTOKOLLE

SIEM-Systeme bieten die Möglichkeit, Sicherheitsinformationen aus unterschiedlichen Quellen innerhalb einer Organisation zentral zu sammeln. Dies ermöglicht IT-Teams, einen umfassenden Überblick über die Sicherheitslage zu erhalten und mögliche Schwachstellen oder Bedrohungen frühzeitig zu erkennen. Durch diese zentrale Sammlung werden redundante Datenbanken vermieden und ein konsistenter Informationspool geschaffen.

In der Praxis können SIEM-Systeme Logdaten und Sicherheitsinformationen aus einer Vielzahl von Quellen sammeln, darunter:

Durch die Echtzeit-Überwachung und Analyse von Sicherheitsereignissen ermöglichen SIEM-Systeme schnellere Reaktionszeiten bei Sicherheitsvorfällen. Die kontinuierliche Überwachung und Korrelation von Daten aus verschiedenen Quellen führt zur schnelleren Identifikation von Angriffen und Schwachstellen. Dadurch können Sicherheitsteams sofort Maßnahmen ergreifen, um mögliche Schäden zu minimieren und die Ausbreitung von Angriffen einzudämmen.

Ein wesentlicher Vorteil von SIEM-Systemen ist die Fähigkeit, Anomalien und Muster im Netzwerkverkehr und Benutzerverhalten zu erkennen. Durch die Analyse von Daten und die Anwendung von maschinellem Lernen können SIEM-Systeme ungewöhnliche Aktivitäten identifizieren, die auf Sicherheitsbedrohungen oder interne Missstände hinweisen können. Dies ermöglicht Organisationen, proaktiv gegen potenzielle Bedrohungen vorzugehen und ihre Sicherheitsstrategie kontinuierlich zu optimieren.

SIEM-Systeme unterstützen Organisationen dabei, Compliance-Anforderungen in Bezug auf IT-Sicherheit und Datenschutz zu erfüllen. Durch die zentrale Sammlung und Analyse von Sicherheitsinformationen können SIEM-Systeme detaillierte Berichte erstellen, die den Nachweis der Einhaltung gesetzlicher Vorschriften und branchenspezifischer Standards erleichtern. Dies reduziert den Aufwand für Audits und ermöglicht es Unternehmen, mögliche Sanktionen oder Strafen zu vermeiden.

SIEM-Systeme ermöglichen die Automatisierung und Orchestrierung von Sicherheitsprozessen, was die Effizienz und Effektivität von Sicherheitsteams steigert. Durch die Integration mit anderen Sicherheitstools und die Nutzung von Automatisierungsfunktionen können Routineaufgaben und wiederkehrende Prozesse automatisiert werden. Dies ermöglicht es Sicherheitsteams, sich auf die Analyse und Bewertung von Sicherheitsvorfällen zu konzentrieren und so besser auf aktuelle und zukünftige Bedrohungen vorbereitet zu sein.

Eine effektive Integration von Infrastrukturen ist entscheidend, um einen umfassenden Überblick über die Sicherheit eines Unternehmensnetzwerks zu erhalten. Es ist essenziell zu verstehen, welche Gründe es für die Integration verschiedener Infrastrukturen gibt, welche Arten von Sicherheitsereignissen sie erzeugen und welche Angriffe mithilfe der korrelierten Logs erkannt werden können.

Netzwerkgeräte wie Router, Switches und Firewalls sind grundlegende Komponenten einer Unternehmensinfrastruktur. Sie sind für die Steuerung und Überwachung des Datenverkehrs verantwortlich. Die Integration von Netzwerkgeräten in ein SIEM-System ist wichtig, um verdächtige Aktivitäten und Anomalien im Datenverkehr zu erkennen. Sicherheitsereignisse, die von diesen Geräten erzeugt werden, können beispielsweise auf DoS-Angriffe, Port-Scanning oder unautorisierten Zugriff hindeuten. Durch die Analyse der korrelierten Logs können Angriffe wie Man-in-the-Middle, DDoS und Zero-Day-Exploits erkannt werden.

Server und Workstations sind entscheidend für den Betrieb eines Unternehmens und stellen daher ein attraktives Ziel für Angreifer dar. Die Integration von Servern und Workstations in ein SIEM-System ermöglicht die Überwachung von Dateizugriffsprotokollen, Anmeldeaktivitäten und Systemereignissen. Die erzeugten Sicherheitsereignisse können auf unautorisierten Zugriff, Datenlecks oder Malware-Infektionen hindeuten. Durch die Analyse der korrelierten Logs können Angriffe wie Ransomware, Pass-the-Hash und Insider-Bedrohungen erkannt werden.

Mit der zunehmenden Verlagerung von Unternehmensressourcen in die Cloud ist es wichtig, auch Cloud-Umgebungen in SIEM-Systeme zu integrieren. Dies ermöglicht die Überwachung von Zugriffsprotokollen, Datenübertragungen und Konfigurationsänderungen. Sicherheitsereignisse aus der Cloud können auf Datenverstöße, Missbrauch von Zugriffsrechten oder Kontoübernahmen hindeuten. Mithilfe der Analyse der korrelierten Logs können Angriffe wie Cloud-Hijacking, Cross-Site Scripting und Brute-Force erkannt werden.

Anwendungen und Datenbanken enthalten häufig vertrauliche und geschäftskritische Informationen, die für Angreifer von großem Interesse sind. Durch die Integration von Anwendungen und Datenbanken in ein SIEM-System können Sicherheitsereignisse wie fehlgeschlagene Anmeldeversuche, unberechtigte Datenabfragen und Änderungen an Datenbankstrukturen überwacht werden. Die Analyse der korrelierten Logs ermöglicht die Erkennung von Angriffen wie SQL-Injection, Cross-Site Request Forgery und Datenmanipulation.

IoT-Geräte und industrielle Steuerungssysteme (ICS) sind zunehmend vernetzt und stellen daher potenzielle Angriffsziele dar. Die Integration dieser Geräte in ein SIEM-System ist wichtig, um die Sicherheit dieser Systeme zu gewährleisten. Sicherheitsereignisse, die von IoT-Geräten und ICS erzeugt werden, können auf Manipulationen, unberechtigten Zugriff oder Sabotage hindeuten. Durch die Analyse der korrelierten Logs können Angriffe wie Stuxnet, Mirai-Botnet und Industrialspionage erkannt werden. Die Überwachung von von solchen IoT Netzen ist insbesondere für Unternehmen mit Fernwirktechnik wie bspw. Energiedienstleister oder Stadtwerke wichtig.

In diesem Kapitel werden die Herausforderungen bei der Erstellung von SIEM-Regeln unter besonderer Berücksichtigung von herstellerunabhängigen Entwicklung diskutiert. Dabei wird auf das MITRE ATT&CK Framework eingegangen und wie es bei der Auswahl von Taktiken, Techniken und Verfahren sowie bei der Erstellung von Korrelationsregeln hilfreich sein kann. Zudem wird die Minimierung der Falsch-Positiv-Rate thematisiert.

Das MITRE ATT&CK (Adversarial Tactics, Techniques & Common Knowledge) Framework ist eine umfassende Wissensbasis, die eine Sammlung von Taktiken, Techniken und Verfahren zur Beschreibung von Cyberangriffsverhalten enthält. Das Framework bietet eine strukturierte und konsistente Herangehensweise an die Analyse von Cyberbedrohungen, was es Sicherheitsexperten ermöglicht, effektivere und skalierbare SIEM-Regeln zu entwickeln.

Die Auswahl der richtigen Taktiken, Techniken und Verfahren (TTPs) ist entscheidend für den Erfolg einer SIEM-Regel. Dabei sollte zunächst ein Verständnis für die spezifischen Bedrohungen entwickelt werden, denen eine Organisation ausgesetzt ist. Die Analyse von Bedrohungsinformationen, wie z.B. Threat Intelligence Reports oder Penetration Tests, kann dazu beitragen, relevante Bedrohungen zu identifizieren. Anschließend können diese TTPs im MITRE ATT&CK Framework nachgeschlagen und deren Beschreibungen und Empfehlungen zur Erkennung und Abwehr herangezogen werden.

Korrelationsregeln sind ein wesentlicher Bestandteil von SIEM-Lösungen. Sie ermöglichen es, Muster von Ereignissen zu erkennen, die auf Angriffe oder verdächtige Aktivitäten hindeuten. Die Erstellung von Korrelationsregeln basierend auf dem MITRE ATT&CK Framework bietet eine strukturierte Methode, um effektive und zielgerichtete Regeln zu entwickeln. Dabei sollten die folgenden Schritte beachtet werden:

Falsch-Positive stellen eine Herausforderung für die Effizienz und Effektivität von SIEM-Systemen dar, da sie Ressourcen binden und die Aufmerksamkeit der Analysten von tatsächlichen Bedrohungen ablenken können. Um die Falsch-Positiv-Rate zu minimieren, sollten Korrelationsregeln so spezifisch wie möglich gestaltet werden. Dies kann durch die Verwendung von mehreren Bedingungen und Schwellenwerten sowie durch die kontinuierliche Überprüfung und Anpassung der Regeln erreicht werden. Es ist wichtig, ein Gleichgewicht zwischen der Reduzierung von Falsch-Positiven und der Sicherstellung einer effektiven Erkennung von Bedrohungen zu finden. Eine zu strenge Regelsetzung kann dazu führen, dass echte Bedrohungen übersehen werden, während zu lockere Regeln eine hohe Anzahl von Falsch-Positiven verursachen können.