Startseite > Office & Kommunikation > Schluss mit Datengräbern

Security Intelligence optimal planen

Schluss mit Datengräbern

5. Juli 2016, 14:16 Uhr | Axel Pomper

Fortsetzung des Artikels von Teil 1

SIEM erfolgreich betreiben

funkschau: Welche Faktoren beeinflussen die erfolgreiche Einführung und den Betrieb eines SIEM?

Mörwald: Aus unserer Sicht gibt es mehrere Punkte, die zu berücksichtigen sind. Einer der wichtigsten ist, zuerst seine Ziele zu definieren und dann das SIEM-Tool auszuwählen. Das Unternehmen sollte sich fragen: Was wollen wir wissen? Wollen wir reaktiv erkennen, was im Netzwerk geschehen ist und diese Vorfälle analysieren – also reines Logmanagement – oder ist „klassisches SIEM“ gefragt? Auf der Basis definierter Regeln sind automatisierte Trendanalysen möglich und damit die proaktive Detektion von Anomalien. Das ermöglicht unter anderem eine vorausschauende Anpassung von Policies. Die technische Lösung sollte die Echtzeitanalyse beherrschen, aber auch Verläufe und Vergangenheit auf den Prüfstand stellen können.

funkschau: Inwiefern spielt die Entwicklung von Bedrohungsszenarien eine Rolle?

Mörwald: Ein risikobasierter Ansatz ist unserer Ansicht nach der beste Weg, um ein SIEM zielorientiert zu betreiben. Zudem kann die Definition relevanter Use Cases die Auswahl der erforderlichen SIEM-Bausteine erheblich beeinflussen. Typische Use Cases für den SIEM-„Einstieg“ sind Brute-Force-Angriffe, die Detektion von Kommunikation mit potentiell Schadcode-behafteten Zielen, Innentäter-Angriffe, verdächtiger Netzwerkverkehr und unerwartete Ereignisse. Auch die Integration bzw. Überwachung von Applikationen ist möglich. Hier sind weitergehende Informationen zum Normalverhalten entscheidend. Alle Use Cases werden im Rahmen einer "Einschwingphase" stetig weiter an die Umgebung angepasst. Wesentlich ist, das SIEM gemäß den entwickelten Bedrohungsszenarien zu konfigurieren. Nur so erhält man aussagekräftige Informationen.

funkschau: Was ist in Bezug auf Personal und Prozesse zu bedenken?

Mörwald: Im Unternehmen sollte es Spezialisten geben, die in der Lage sind, die gelieferten Informationen tatsächlich auf ihre Kritikalität zu analysieren und zu qualifizieren. Fehlt das Know-how im eigenen Hause, ist externe Expertise sinnvoll. Darüber hinaus sind Eskalationsstufen und Schnittstellen zu allen relevanten Abteilungen für den Ernstfall zu definieren, damit die Organisation bei der Entdeckung eines Cyber-Angriffs die nötigen Schritte in Gang setzen kann. IT und Fachbereiche sollten bei der Eindämmung eines Angriffs Hand in Hand arbeiten. Wichtig ist auch der unmittelbare Zugang zur Rechtsabteilung, um bei Bedarf die Gerichtsverwertbarkeit des Sicherheitsvorfalls sicherzustellen.