Zentrale Sicherheitsüberwachung

Was ist ein SIEM?

Security Information and Event Management

Ein SIEM sammelt Protokolldaten aus Systemen, Anwendungen und Sicherheitswerkzeugen an einer Stelle, bringt sie in ein einheitliches Format und wertet sie über Regeln aus. Ziel ist, aus vielen einzelnen Ereignissen die wenigen Abläufe herauszufiltern, die auf einen Angriff hindeuten.

Sobald ein Prüfer, eine Versicherung oder eine Rechtsvorschrift eine Angriffserkennung verlangt, steht die Frage im Raum, wohin die Protokolldaten aller Systeme eigentlich laufen.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Verarbeitet: Protokolldaten aus Systemen und Anwendungen
Liefert: Korrelierte Alarme statt Einzelereignisse
Kostentreiber: Datenmenge und Aufbewahrungsdauer
Verwechselt mit: SOAR, XDR und Monitoring

Vom Rohereignis zum Alarm

Am Anfang stehen Sammler: Agenten auf Servern, Syslog von Netzgeräten, API-Anbindungen an Cloud-Dienste. Danach folgt die Normalisierung, bei der aus unterschiedlich benannten Feldern ein gemeinsames Schema wird. Erst wenn Benutzername, Quelladresse und Aktion überall gleich heißen, lassen sich Quellen miteinander verknüpfen.

Die eigentliche Arbeit macht die Anreicherung. Eine Anmeldung allein sagt wenig. Viel sagt sie erst, wenn sie an einem Domänencontroller stattfindet, wenn das Konto sonst nur in der Buchhaltung auftaucht und wenn das Gerät in keinem Inventar steht. Dafür zieht das System Asset-Daten, Verzeichnisinformationen und Bedrohungsdaten hinzu.

Regeln, die jemand beantworten kann

Ein Anwendungsfall besteht aus mehr als der Regel selbst. Dazu gehört, welche Datenquelle er braucht, was der Alarm bedeutet, wer ihn bearbeitet und welcher erste Schritt folgt. Regeln ohne diesen Rahmen erzeugen eine Liste, die nach zwei Wochen niemand mehr anschaut. Ein Angriffsmuster-Katalog wie MITRE ATT&CK hilft dabei, die Abdeckung zu ordnen und Lücken sichtbar zu machen.

Fehlalarme sind kein Schönheitsfehler, sondern der Grund, warum echte Alarme untergehen. Jede Regel braucht deshalb einen Zeitraum im Testbetrieb, in dem gemessen wird, wie oft sie auslöst und wie oft daraus eine Handlung folgt.

Datenmenge kostet

Die Lizenzmodelle rechnen fast immer über das aufgenommene Volumen oder die Ereignisrate ab, dazu kommt die Aufbewahrung. Deshalb gehört zu jeder Quelle die Frage, welche Erkennung oder welche Untersuchung sie ermöglicht. Alles auf maximaler Ausführlichkeit einzuschalten, treibt die Kosten und verbessert die Erkennung nicht.

Sinnvoll ist eine Abstufung: Sicherheitsrelevante Ereignisse kommen in den schnellen Speicher, ausführliche Protokolle für die spätere Auswertung in den günstigeren. Wichtig ist, dass die Aufbewahrungsdauer zu der Zeit passt, die ein Angriff typischerweise unentdeckt bleibt, sonst fehlen im Ernstfall genau die Daten vom Anfang.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

SIEM und was oft damit gleichgesetzt wird

SIEM gegen SOAR

Das SIEM erkennt und meldet, SOAR führt die Reaktion aus: Konto sperren, Gerät isolieren, Ticket anlegen. In vielen Produkten steckt beides, es bleiben trotzdem zwei getrennte Aufgaben.

SIEM gegen XDR

XDR bringt Telemetrie aus Endpunkten, Identitäten und Mail eines Herstellers mit fertigen Erkennungen zusammen. Ein SIEM ist herstellerneutral und nimmt jede Quelle auf, verlangt dafür aber eigene Regelarbeit.

SIEM gegen Monitoring

Klassisches Monitoring fragt, ob ein System läuft und wie schnell. Das SIEM fragt, ob jemand etwas tut, das er nicht tun sollte. Die Datenquellen überschneiden sich, die Auswertung nicht.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Ein SIEM ohne Bereitschaft ist ein teures Archiv

Die Technik steht in Wochen, der Betrieb ist die eigentliche Entscheidung. Jede Regel braucht eine hinterlegte Antwort auf die Frage, was beim Auslösen zu tun ist und wer das um drei Uhr nachts tut. Ohne diese Zuordnung sammeln sich Alarme, die Woche für Woche weggeklickt werden, und die Erkennung besteht am Ende nur noch auf dem Papier.

Die zweite Falle sind stille Ausfälle. Nach einem Update ändert ein System sein Protokollformat, die Auswertung greift nicht mehr, und der Zufluss versiegt, ohne dass ein Alarm entsteht, denn es kommt ja einfach nichts mehr an. Deshalb überwachst du zuerst die Quellen selbst: Meldet sich jede erwartete Quelle noch, und liegt die Menge im üblichen Rahmen?

Und die Kosten hängen an der Datenmenge. Lizenz- und Speichermodelle rechnen nach Volumen oder nach Ereignissen je Sekunde, deshalb entscheidet die Auswahl der Quellen über das Budget. Sinnvoll ist, mit den Quellen zu beginnen, die einen Angriff tatsächlich sichtbar machen, also Anmeldungen, Verzeichnisdienst, Endgeräteschutz und die nach außen gerichteten Systeme, und den Rest erst danach zu bewerten.

SIEM lernen

Wie du Datenquellen anbindest, Regeln schreibst und Fehlalarme herunterschraubst, behandeln die Sicherheitstrainings im Microsoft-Umfeld entlang konkreter Vorfälle.

Wer Erkennungsregeln schreibt, sollte die Angriffsmuster dahinter kennen, dafür gibt es die Grundlagen der Angriffserkennung .

Wissen prüfen

Sitzt SIEM schon?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest SC-200 Quiz - Security Operations AnalystBereite dich auf die SC-200 Prüfung vor. Teste dein Wissen zu Microsoft Sentinel, Defender XDR und Incident Response. Quiz starten Wissenstest SC-900 Quiz - Security, Compliance & Identity FundamentalsBereite dich auf die Microsoft SC-900 Zertifizierungsprüfung vor. Teste dein Wissen zu Security, Compliance und Identity. Quiz starten

Kurse, die SIEM behandeln

Häufige Fragen

Welche Logquellen binde ich zuerst an?

Zuerst die, in denen Angriffe sichtbar werden: Verzeichnisdienst und Anmeldeereignisse, Endpunktschutz, Firewall und Fernzugänge, dazu die Administrationsprotokolle deiner Cloud-Umgebung. Anwendungslogs lohnen sich, sobald du weißt, welche Frage sie beantworten sollen.

Brauche ich ein Team rund um die Uhr, um ein SIEM zu betreiben?

Nicht zwingend, aber du brauchst eine feste Zuständigkeit und eine vereinbarte Reaktionszeit. Ohne beides sammelt das System Daten, die niemand ansieht. Wer keine Schichten stellen kann, lagert die Überwachung aus und behält die Regelpflege im Haus.

Wie lange sollten die Daten aufbewahrt werden?

Lange genug, um nach einer späten Entdeckung noch den Anfang des Vorfalls zu sehen. In der Praxis heißt das mehrere Monate für sicherheitsrelevante Ereignisse. Die genaue Dauer ergibt sich aus Untersuchungsbedarf, Vorgaben aus dem Datenschutz und Speicherkosten.

Persönlich für dich da