SIEM

Entstehung und Beteiligte

SIEM entstand aus Security Information Management und Security Event Management. Gartner vereinte die Begriffe Mitte der 2000er-Jahre. Frühere Logmanagement- und Korrelationsprodukte legten die technische Grundlage.

Welches Problem sollte gelöst werden?

Firewalls, Server, Anwendungen und Identitätssysteme erzeugen Millionen isolierte Ereignisse. Sicherheitsanalysten brauchen zentrale Suche, Korrelation und Nachweise über Systemgrenzen hinweg.

Technische Hürden und Lösungen

Zeitstempel, Felder und Identitäten müssen normalisiert werden. Zu breite Regeln erzeugen Alarmflut, zu enge übersehen Angriffe. Speicherung ist teuer; Erkennungslogik benötigt laufende Anpassung und bekannte Verantwortliche.

Standardisierung und Einordnung

Monitoring entwickelte sich vom einfachen Prüfen erreichbarer Geräte zu einer eigenen Disziplin aus Metriken, Ereignissen, Protokollen und Traces. Die zentrale Schwierigkeit besteht nicht im Sammeln möglichst vieler Daten, sondern im Erkennen relevanter Abweichungen. Zeitstempel, eindeutige Identitäten, Aufbewahrung, Normalisierung und sinnvoll gesetzte Alarmgrenzen entscheiden darüber, ob Messdaten im Störungsfall helfen.

Technik im praktischen Betrieb

Ein Messwert benötigt Kontext: Einheit, Quelle, Intervall, Aggregation und erwarteten Normalbereich. Durchschnittswerte können kurze Spitzen verdecken, Maximalwerte kleine Ausreißer überbetonen. Aufbewahrung und Auflösung sollten zum Diagnoseziel passen. Alarme müssen einen klaren Besitzer, eine Handlungsanweisung und eine Eskalation besitzen. Regelmäßige Tests mit absichtlich ausgelösten Fehlern zeigen, ob Benachrichtigung, Bereitschaft und Runbook wirklich funktionieren.

Warum das Thema heute noch relevant ist

Historische Daten schaffen erst dann Wert, wenn sie vergleichbar bleiben. Änderungen an Geräten, Namen, Intervallen oder Messdefinitionen müssen deshalb nachvollziehbar sein. Langfristige Trends beantworten Kapazitätsfragen, detaillierte kurze Daten helfen bei Störungen. Beide Ziele verlangen unterschiedliche Auflösung. Monitoring ist zugleich Teil der Beweiskette: Ohne unabhängige Zeit, unveränderte Logs und bekannte Datenlücken lässt sich nach einem Vorfall nur schwer unterscheiden, was tatsächlich geschah und was lediglich vermutet wird.

Daten und Meilensteine

• SIEM kombiniert Sammlung, Normalisierung, Suche und Korrelation.
• Use Cases sollten von konkreten Bedrohungen und Datenquellen ausgehen.
• UEBA ergänzt Verhaltensanalysen.
• Ein SIEM ohne Reaktionsprozess wird zum teuren Logarchiv.

Was ist ein SIEM?

SIEM (Security Information and Event Management) ist eine zentrale Plattform, die Security-relevante Logs und Events aus der gesamten IT-Umgebung sammelt, normalisiert und korreliert. Ziel: Angriffe erkennen, die aus einzelnen Log-Quellen unsichtbar wären.

Beispiel: Ein einzelner fehlgeschlagener Login-Versuch ist normal. 200 fehlgeschlagene Logins in 60 Sekunden von einer IP, gefolgt von einem erfolgreichen Login – das ist ein Brute-Force-Angriff. Die SIEM-Korrelationsregel erkennt dieses Muster.

SIEM-Kernfunktionen

• Log Aggregation: Logs von Firewalls, IDS/IPS, AD, Endpoints, Cloud-Services, Anwendungen zentralisiert sammeln.
• Normalisierung: Verschiedene Log-Formate in einheitliches Format bringen (Parsing, CEF, ECS).
• Korrelation: Ereignisse zeitlich und logisch verknüpfen. Regelbasiert (Threshold: X Events in Y Minuten) oder ML-basiert.
• Alerting: Bei Regel-Match → Alert für SOC-Analyst (Ticket-System, PagerDuty, SOAR).
• Threat Intelligence Integration: IoCs (Indicators of Compromise) aus Threat Feeds gegen Log-Daten matchen.
• Forensik: Nach einem Incident alle relevanten Logs durchsuchen und Timeline erstellen.
• Compliance Reporting: PCI-DSS, DSGVO, ISO 27001 Reporting-Anforderungen erfüllen.

SIEM-Lösungen und SOAR

Commercial: Splunk (Marktführer, teuer, sehr mächtig), IBM QRadar, Microsoft Sentinel (Azure-integriert, wachsend stark). Open Source: Elastic Security (ELK Stack + Detection Rules), Wazuh (Host-basiertes SIEM), OSSIM/AlienVault.

SOAR (Security Orchestration, Automation and Response): Automatisiert Reaktionen auf SIEM-Alerts. SIEM + SOAR = automatische Incident Response (z.B. SIEM erkennt Brute Force → SOAR sperrt automatisch die IP im Firewall). Anbieter: Palo Alto Cortex XSOAR, Splunk SOAR.