Security-Information- und Event-Management-Systeme (SIEM)
Frühzeitig über Sicherheitsverstöße informiert werden – aber wie?
Fortsetzung des Artikels von Teil 1
„SIEM löst den gordischen Sicherheitsknoten“
Was SIEM-Systeme zusätzlich können ist eine Echtzeitanalyse von sicherheitsrelevanten Ereignisdaten, die Korrelation von verschiedenen Ereignisquellen sowie die frühzeitige Alarmierung und Reaktion bei Vorfällen. Um dies zu erreichen, durchlaufen SIEM-Lösungen die elementaren Phasen der Log- und Ereignisdaten-Sammlung, der Normalisierung dieser Daten und der anschließenden Korrelation und Alarmierung. Um an die relevanten Log- und Ereignisdaten der Quellsysteme zu gelangen, sollte SIEM sowohl Push- als auch Pull-Mechanismen vorhalten. Für beides müssen die Kollektoren als passive Elemente und die Agenten als aktive Elemente nahtlos zusammenwirken.
Die meisten Hersteller von SIEM-Systemen offerieren eine große Vorauswahl für gängige Log- und Ereignisquellen. Die Daten werden anschließend gefiltert, aggregiert und kategorisiert sowie durch Normalisierung in ein einheitliches Format gebracht. Das Gros der Informationen wird bereits in dieser frühen Phase gefiltert und aggregiert, damit keine unnötigen Re-dundanzen entstehen und später die rechenintensiven Prozesse sich voll auf die Auswertung der werthaltigen Daten konzentrieren können. In der Phase der Kategorisierung sollten Inhalte der Logs verfeinert beziehungsweise durch typenspezifische Informationen ergänzt werden können. Das vereinfacht für die spätere Priorisierung das Erstellen der Korrelationslogik und der dazu passenden Korrelationsregeln.
Die normalisierten Informationen werden anschließend an ein zentrales System weitergeleitet, welches das Ausgangsereignis mit anderen Ereignissen korreliert. Dabei werden gemäß des hinterlegten Logik- und Regelwerks die unterschiedlichen Ereignisse meist durch Anwendung boolscher Operatoren verknüpft. Weitere mögliche Korrelationsmechanismen basieren auf Mustererkennung oder statistischen Analysen (Anomalieerkennung). In dieser Phase erweist sich, wie intelligent das SIEM-System tatsächlich ist. Für ein effektives Security-Monitoring sollten die Entscheider außerdem ihr Augenmerk auf die Feinjustierung der Korrelationsregeln lenken. So sollten besonders kritische Ereignisse nicht durch eine Masse an wertlosen Informationen (falsch-positive) verdeckt werden. Unter dieser Voraussetzung können die verantwortlichen Personen über einen Incident-Management-Prozess schnell alarmiert werden.
Diskutieren Sie mit auf facebook
- Frühzeitig über Sicherheitsverstöße informiert werden – aber wie?
- „SIEM löst den gordischen Sicherheitsknoten“
Lesen Sie mehr zum Thema
