Ein SIEM-System sammelt Protokolle aus dem gesamten Unternehmen, normalisiert sie und korreliert Ereignisse, um Bedrohungen zu erkennen. Firewalls, Server, Endpunkte, Anwendungen und Cloud-Dienste generieren Protokolle. Das SIEM-System führt diese an einem zentralen Ort zusammen, analysiert die Daten und wendet Regeln an, um Muster zu erkennen. Ein einzelner Anmeldefehler ist irrelevant. Tausend fehlgeschlagene Anmeldeversuche, gefolgt von einem erfolgreichen, stellen eine Warnung dar. Das SIEM-System deckt diese Korrelation auf.

SIEM-Plattformen wie Splunk, Microsoft Sentinel und IBM QRadar sind leistungsstark, aber anspruchsvoll. Sie erfordern eine sorgfältige Konfiguration. Standardmäßig generieren sie zu viele Warnmeldungen und Fehlalarme. Analysten sind damit überfordert. Der Nutzen ergibt sich aus der sorgfältigen Regelentwicklung und der Integration von Bedrohungsdaten. Das SIEM unterstützt zudem die Einhaltung von Compliance-Vorgaben. Auditoren erwarten, dass Protokolle erfasst, aufbewahrt und geprüft werden. Das SIEM liefert diese Nachweise. Moderne SIEMs ergänzen diese um Verhaltensanalysen und maschinelles Lernen, um Anomalien zu erkennen, die statische Regeln übersehen. Einige lassen sich in SOAR-Plattformen integrieren, um automatisierte Reaktionen zu ermöglichen. Das SIEM ist das zentrale Nervensystem eines Security Operations Centers. Ohne es arbeiten Analysten im Blindflug. Selbst mit ihm bleibt ihnen noch viel Arbeit.

SIEM-Funktionen

• Protokollsammlung – Daten aus vielen Quellen sammeln
• Normalisierung – Formate in ein gemeinsames Schema umwandeln
• Korrelation – Verknüpfung von Ereignissen über verschiedene Quellen hinweg
• Alarmierung – Analysten über verdächtige Aktivitäten informieren
• Aufbewahrung – Protokolle werden zur Einhaltung der Vorschriften und für Untersuchungen gespeichert

Ein SIEM-System ist nur so gut wie die Protokolle, die es empfängt, und die Regeln, die es ausführt. Was man hineingibt, kommt auch wieder heraus.