SIEM: Sicherheitsereignisse zentral auswerten

Kurz: Eine Plattform, die Protokolle aus vielen Systemen sammelt, vergleicht und bei verdächtigen Mustern Alarm schlägt.

Genauer: SIEM steht für Security Information and Event Management. Server, Firewalls, Anmeldedienste und Anwendungen erzeugen Logs. Ein einzelner Eintrag wirkt oft harmlos, im Zusammenhang mit anderen zeigt er einen Angriff. Das SIEM bringt die Daten an einem Ort zusammen und wertet sie automatisch aus.

Im Detail

Aufgaben

• Sammeln: Logs per Agent oder Syslog einsammeln.
• Normalisieren: unterschiedliche Formate in ein gemeinsames Schema bringen.
• Korrelieren: Ereignisse verknüpfen, zum Beispiel 50 fehlgeschlagene Anmeldungen und danach eine erfolgreiche von derselben Adresse.
• Alarmieren: Regeln lösen Meldungen oder Tickets aus.
• Aufbewahren und suchen: für Untersuchungen und Nachweise, zum Beispiel für Audits.

Beispiel für eine Regel

Anmeldeversuche mit derselben Quelladresse und vielen verschiedenen Benutzernamen innerhalb weniger Minuten deuten auf Password Spraying hin. Eine Regel kann das erkennen, den Vorfall mit einer Wertung versehen und einen Alarm an das Sicherheitsteam senden. Auch ungewöhnliche Uhrzeiten, neue Länder oder plötzliche große Datenabflüsse sind typische Auslöser.

Werkzeuge

Bekannte Produkte sind Splunk, Elastic Security, Microsoft Sentinel und IBM QRadar; freie Lösungen sind etwa Wazuh oder Graylog. Ergänzend arbeiten SOAR-Werkzeuge, die auf Alarme automatisch reagieren (Konto sperren, Rechner isolieren), und EDR-Software auf den Endgeräten.

Fallstricke

Ein SIEM ist nur so gut wie seine Datenquellen und Regeln. Zu viele ungenaue Alarme führen zu Alert Fatigue, bei der echte Warnungen untergehen. Logs enthalten oft personenbezogene Daten, daher sind Zugriff, Aufbewahrungsdauer und Datenschutz zu regeln. Wichtig sind außerdem synchrone Uhren, damit Ereignisse richtig geordnet werden.

Siehe auch: Logging und Log-Level, Audit-Log, Firewall