Verfügbarkeit – aber von was?

Die Vorteile einer Anbindung eines Sicherheitsmanagement-Systems an ein Helpdesk-System wie beispielsweise Remedy ARS von BMC liegen auf der Hand, da beide Systeme mit Störfällen zu tun haben. Das Sicherheitsmanagementsystem ist eher auf die Erkennung solcher Vorfälle ausgelegt – teilweise aber auch schon auf deren Behebung –, für Helpdesk-Systeme ist Störfallbehandlung das »täglich Brot«. Weniger offensichtlich sind die Vorteile, die eine Anbindung des Sicherheitsmanagements an die großen System- und Servicemanagementsysteme bringt. »Durch eine solche Verbindung bekommt man eine ganz andere, und zwar positivere Sicht, auf das Geschehen im Netz«, sagt Philippe Roggeband, Sales Business Development Manager bei Cisco, und er klärt auch warum: »Die Systemmanagement-Werkzeuge signalisieren im Fall von Problemen nur die Nichtverfügbarkeit einer Netzkomponente und die dadurch verursachte zeitweilige Nichterfüllung einer Leistungsvereinbarung. Wenn die Informationen der Komponente für das Sicherheitsmanagement integriert werden, ergibt sich ein etwas anderes Bild. Man sieht dann, dass die Leistungsvereinbarungen insofern durchgesetzt werden, als in einem Havariefall Sicherheitsfragen Vorrang vor Verfügbarkeit haben. Denn eine Verfügbarkeit von Schadprogrammen kann ja nicht im Sinn der Leistungsvereinbarungen sein.«

Keine Admin-Privilegien für SIEM-Systeme? Sicherheitsmanagementsysteme müssen ein wahrheitsgetreues Bild der Unternehmenssituation im IT-Bereich liefern. Integralis-Berater Maurer warnt deshalb davor, Systemadministratoren die Möglichkeit zu geben, im Rahmen einer Privilegienhierarchie solche Systeme beeinflussen zu können. Zum Beispiel durchlöchere ein etwaiges Universal-Passwort (SSO) auf dem SIEM-System alle Sicherheitsmaßnahmen und sei deshalb strikt abzulehnen. Markus Nispel, Director Solution Architecture, beim Netzwerkanbieter Enterasys sieht das nicht ganz so eng: »Die Regelbasis ist bei unserem System je nach Admin-Zugang modifizierbar und das muss auch so sein, damit sie an die Kundenumgebung angepasst werden kann«, bemerkt Nispel. Enterasys ist mit SIM oder SIEM verhältnismäßig neu am Markt. De facto wurde das 10-GBit/s-Einbruchspräventionssystem Dragon durch entsprechende Logdaten-Auswertungen ergänzt.