Was ist SIEM (Security Information and Event Management)?

Abkürzung für Security Information and Event Management. System, das Logs von Firewalls, Servern, EDR, Cloud-Diensten, Authentifizierungsinfrastruktur usw. an einer Stelle sammelt, Format und Zeitangaben vereinheitlicht, mit Regeln, die mehrere Ereignisse kombinieren (Korrelationsanalyse), Angriffsverdacht erkennt und als Warnung meldet. Es dient auch zur Log-Suche bei Untersuchungen und zur langfristigen Aufbewahrung von Logs, die Vorschriften verlangen. Es ist eines der zentralen Werkzeuge, mit denen die Analysten eines SOC (Security Operations Center) überwachen.

Japanische Bezeichnung: SIEM(セキュリティ情報イベント管理)

„SIEM (Security Information and Event Management)“ kommt in 2 Übungsfragen aus 1 Themen vor, z. B. Cyberangriffe und Abwehr in der Praxis.

Fachgebiet: Cyberangriffe und Abwehr in der Praxis

Beispiel einer Korrelationsanalyse

Auch Ereignisse, die sich anhand eines einzelnen Logs nicht beurteilen lassen, verstärken in Kombination den Angriffsverdacht. So wird etwa eine Abfolge wie „viele fehlgeschlagene Anmeldungen am selben Konto in kurzer Zeit, unmittelbar danach eine erfolgreiche Anmeldung aus einem ungewöhnlichen Land, anschließend der Download sehr vieler Dateien“ zu einer einzigen Warnung zusammengefasst.

Log-Verwaltung als Voraussetzung

Die Qualität von Erkennung und Untersuchung hängt von der Qualität der gesammelten Logs ab. Voraussetzung ist, die nötigen Logs lückenlos zu sammeln, die Uhren aller Geräte per NTP zu synchronisieren und die Logs manipulationsgeschützt für einen festgelegten Zeitraum (etwa den von Vorschriften oder Verträgen verlangten) aufzubewahren. Je größer die Log-Menge, desto höher die Kosten; was gesammelt wird, wird daher nach dem Zweck festgelegt.

Abstimmung der Warnungen

Zu weit gefasste Regeln erzeugen massenhaft Fehlalarme und führen dazu, dass Analysten echte Angriffe übersehen (Alarmmüdigkeit). Die Regeln werden an die Umgebung angepasst und Routineprüfungen mit SOAR automatisiert, damit sich die Analysten auf wichtige Warnungen konzentrieren können.

Jetzt üben: Fragen zu SIEM (Security Information and Event Management)

Welche Kombination beschreibt die Rollen von SIEM, SOAR und SOC in der Sicherheitsüberwachung richtig?

ASIEM ist Software zur Aufzeichnung des Verhaltens von Endgeräten, SOAR ein Gerät zur Verschlüsselung der Kommunikation und SOC eine Kennnummer für Schwachstellen
BSIEM ist ein System zur automatischen Ausführung von Reaktionsabläufen, SOAR ein System, das Logs aller Geräte sammelt und analysiert, und SOC ein Entwicklungsteam, das sich um Produktschwachstellen kümmert
CSIEM ist ein System, das Logs vieler Geräte sammelt und korreliert, SOAR ein System, das Reaktionsabläufe (Playbooks) automatisch ausführt, und SOC die Organisation, die damit überwacht

Antwort und Erläuterung anzeigen

Antwort: C. SIEM ist ein System, das Logs vieler Geräte sammelt und korreliert, SOAR ein System, das Reaktionsabläufe (Playbooks) automatisch ausführt, und SOC die Organisation, die damit überwacht

Ein SIEM (Security Information and Event Management) sammelt Logs von Firewalls, Servern, EDR, Cloud-Diensten usw. an einer Stelle, gleicht die Zeitangaben ab und meldet Angriffsverdacht als Warnung anhand von Regeln, die mehrere Ereignisse kombinieren (Korrelationsanalyse). SOAR (Security Orchestration, Automation and Response) führt auf Warnungen hin festgelegte Abläufe wie Informationssammlung, Isolieren von Endgeräten und Sperren von Konten als Playbooks automatisch aus und entlastet die Analysten. Das SOC (Security Operations Center) ist die Organisation, die mit diesen Systemen überwacht, Warnungen analysiert, beurteilt, ob ein Sicherheitsvorfall vorliegt, und darüber berichtet; oft arbeitet es im 24-Stunden-Betrieb. Die Reaktion auf die vom SOC festgestellten Vorfälle wird häufig vom CSIRT federführend vorangetrieben.

In einem SOC erzeugt das SIEM 1440 Warnungen pro Tag, die gleichmäßig über den Tag verteilt auftreten. Durch die automatische Verarbeitung mit SOAR werden 75 % der Warnungen ohne Prüfung durch Analysten erledigt; die übrigen Warnungen erfordern im Mittel 10 Minuten Analystenarbeit pro Warnung. Analysten sollen ohne Pause arbeiten können. Wie viele Analysten müssen mindestens ständig eingesetzt sein, damit die Warnungen ohne Rückstand im Tempo ihres Auftretens bearbeitet werden?

A2 Personen
B3 Personen
C10 Personen

Antwort und Erläuterung anzeigen

Antwort: B. 3 Personen

Analysten prüfen 1440 × (1 − 0,75) = 360 Warnungen pro Tag, also 360 ÷ 24 = 15 pro Stunde. Ein Analyst bearbeitet pro Stunde 60 ÷ 10 = 6 Warnungen; nötig sind daher 15 ÷ 6 = 2,5 Personen, aufgerundet 3. Ohne die automatische Verarbeitung durch SOAR wären es 60 Warnungen pro Stunde, und 60 ÷ 6 = 10 Personen wären nötig. In der Praxis gibt es Pausen und andere Aufgaben, und die Zahl der Warnungen schwankt mit der Tageszeit; die Personalstärke wird daher mit Reserve bei der Auslastung festgelegt.

Häufige Fragen

Wie unterscheiden sich SIEM und SOAR?

Ein SIEM sammelt und analysiert Logs und findet Angriffsverdacht. SOAR führt für gefundene Warnungen festgelegte Abläufe (Playbooks) wie Informationssammlung oder das Isolieren von Endgeräten automatisch aus. Es gibt auch Produkte, die beide Funktionen zusammen anbieten.

Stoppt ein SIEM Angriffe automatisch?

Ein SIEM dient vor allem der Erkennung und Untersuchung und blockiert keine Verbindungen. Angriffe stoppen automatische Reaktionen über SOAR, Geräte wie EDR und Firewalls sowie die Menschen, die entscheiden.

„SIEM (Security Information and Event Management)“ in den Erläuterungen

Ein SIEM (Security Information and Event Management) sammelt Logs von Firewalls, Servern, EDR, Cloud-Diensten usw.
Welche Kombination beschreibt die Rollen von SIEM, SOAR und…