Security Intelligence optimal planen
Schluss mit Datengräbern
Fortsetzung des Artikels von Teil 2
Das A und O
funkschau: Wie sehen Sie das Thema Customizing?
Mörwald: Ein ganz wichtiger Aspekt! Wer ein SIEM einführt, übernimmt zunächst einmal die Regeln der Hersteller bzw. die Vollkonfiguration. Allerdings sind die Regeln der Hersteller zu 90 Prozent generisch. Das kann zur Folge haben, dass 90 Prozent der Ergebnisse fehlerhaft sind und falsche Alarme (False-Positive-Rate) auslösen, was im Unternehmen schnell zu einer „Fire and forget“-Mentalität führen kann.
Erfolgskritisch ist außerdem, das SIEM da einzusetzen, wo es wirklich benötigt ist, das heißt wichtige Systeme von unwichtigen Systemen und kritische Zonen von unkritischen Zonen zu unterscheiden – damit nicht genau die Datengräber entstehen, die niemand wirklich gebrauchen kann. Am besten wäre es, das serienmäßige Regelwerk erst komplett abzuschalten und dann nach und nach zuschalten und an die Gegebenheiten anzupassen. Ansonsten ist das Grundrauschen zu hoch, das Vertrauen in die Meldungen schwindet.
funkschau: Welchen Vorteil hat es, SIEM und GRC zu koppeln?
Mörwald: In dieser Kombination lässt sich das volle Potenzial des SIEM ausschöpfen. Das SIEM nutzt die Informationen aus dem GRC (Governance, Risk and Compliance), etwa z.B. zur Priorisierung von Bedrohungen. Das GRC wiederum liefert Management und IT-Verantwortlichen über SIEM-Reports wichtige Informationen zum IT-Sicherheitszustand des Unternehmens und eine relevante Entscheidungsgrundalge zur aktiven Steuerung von Risiken.
funkschau: Was ist sonst noch wichtig?
Mörwald: Was gern unterschätzt wird, ist die Konfiguration der Logquellen: Das mag eine rein technische Maßnahme sein. Allerdings hat sie erhebliche Auswirkungen auf das Unternehmen. Wird das Loglevel zu niedrig angesetzt, läuft das Unternehmen Gefahr, nicht das „one signal in the noise“, also den entscheidenden IT-Sicherheitsvorfall, wahrzunehmen – der Einsatz des SIEM würde seinen Zweck nicht erfüllen.
Ist das Loglevel zu hoch angesetzt und die Ressourcen sind zu knapp bemessen, ist es möglich, dass die Infrastruktur zum Flaschenhals wird und das Unternehmen erst deutlich später Zugriff auf Daten erhält, die das SIEM tatsächlich in Echtzeit erzeugt hat. Auch in diesem Fall hätte das SIEM seinen Zweck nicht erfüllt. Man sollte also immer bedenken, dass ein hohes Loglevel immer einen höheren Bedarf an Ressourcen, CPU-Last, Speicherkapazitäten und Netzwerkbandbreiten erfordert. Dies ist bei der Einführung eines SIEM in der Kapazitäten-Planung auf jeden Fall zu berücksichtigen.
funkschau: Inwiefern kann das SIEM die Mitarbeiterrechte in punkto Datenschutz berühren?
Mörwald: Wäre eine weitgehend lückenlose Protokollierung konfiguriert, könnte ein SIEM die Tätigkeiten von Mitarbeitern recht exakt sammeln und auswerten. Das Unternehmen muss darauf achten, dass die informationellen Grundrechte der Mitarbeiter gewahrt bleiben, das muss bei der Einrichtung des Systems mitbedacht werden und ist technisch problemlos möglich. Deshalb: bei der Einführung oder Implementierung von SIEM-Systemen frühzeitig den Datenschutzbeauftragten und den Betriebsrat mit einbeziehen.
- Schluss mit Datengräbern
- SIEM erfolgreich betreiben
- Das A und O
Lesen Sie mehr zum Thema
