Was ist ein SIEM?

Vom Rohereignis zum Alarm

Ein SIEM arbeitet in einer festen Kette. Jede Stufe baut auf der vorherigen auf, und eine Lücke am Anfang lässt sich am Ende durch keine noch so gute Regel ausgleichen:

1. 1

   Sammeln

   Agenten auf Servern, Syslog von Netzgeräten und API-Anbindungen an Cloud-Dienste liefern die Rohereignisse an.

2. 2

   Normalisieren

   Unterschiedlich benannte Felder werden in ein gemeinsames Schema übersetzt. Erst wenn Benutzername, Quelladresse und Aktion überall gleich heißen, lassen sich Quellen verknüpfen.

3. 3

   Anreichern

   Das System zieht Asset-Daten, Verzeichnisinformationen und Bedrohungsdaten hinzu, etwa ob eine IP-Adresse als bösartig bekannt ist.

4. 4

   Korrelieren

   Regeln verbinden Ereignisse über Quellen und Zeit hinweg, zum Beispiel zehn fehlgeschlagene Anmeldungen und danach eine erfolgreiche vom selben Ziel.

5. 5

   Alarmieren und untersuchen

   Treffer werden als Alarm oder Vorfall gemeldet. Analysten prüfen ihn und durchsuchen dafür die gespeicherten Rohdaten.

Die Anreicherung macht dabei den größten Unterschied. Eine Anmeldung allein sagt wenig. Viel sagt sie erst, wenn sie an einem Domänencontroller stattfindet, wenn das Konto sonst nur in der Buchhaltung auftaucht und wenn das Gerät in keinem Inventar steht.

Logformate: was ein SIEM verstehen muss

Jede Quelle liefert ihre Ereignisse in einem eigenen Format, und die Normalisierung muss sie alle lesen können. Die gängigsten Formate, denen du beim Anbinden begegnest:

Über den Transportformaten stehen die Schemata, in die das SIEM normalisiert. Microsoft Sentinel nutzt dafür ASIM, Elastic das Elastic Common Schema (ECS), und mit OCSF (Open Cybersecurity Schema Framework) gibt es einen herstellerübergreifenden Ansatz. Für dich heißt das: Eine Regel, die auf dem normalisierten Schema schreibt, funktioniert für jede Firewall, egal von welchem Hersteller, eine Regel auf Rohfeldern nur für die eine.

Regeln, die jemand beantworten kann

Ein Anwendungsfall, im SIEM-Jargon Use Case, besteht aus mehr als der Regel selbst. Dazu gehört, welche Datenquelle er braucht, was der Alarm bedeutet, wer ihn bearbeitet und welcher erste Schritt folgt. Regeln ohne diesen Rahmen erzeugen eine Liste, die nach zwei Wochen niemand mehr anschaut. Ein Katalog von Angriffstechniken wie MITRE ATT&CK hilft, die Abdeckung zu ordnen und Lücken sichtbar zu machen.

Fehlalarme sind kein Schönheitsfehler, sondern der Grund, warum echte Alarme untergehen. Jede neue Regel läuft deshalb erst eine Zeit im Testbetrieb, in dem gemessen wird, wie oft sie auslöst und wie oft daraus eine Handlung folgt. Eine Regel, die täglich zwanzigmal anschlägt und nie zu einer Maßnahme führt, wird umgeschrieben oder abgeschaltet.

Datenmenge, Aufbewahrung und Kosten

Die Lizenzmodelle rechnen fast immer über das aufgenommene Volumen in Gigabyte pro Tag oder über die Ereignisrate ab, dazu kommt die Aufbewahrung. Deshalb gehört zu jeder Quelle die Frage, welche Erkennung oder welche Untersuchung sie ermöglicht. Alles auf maximaler Ausführlichkeit einzuschalten, treibt die Kosten und verbessert die Erkennung nicht.

Sinnvoll ist eine Abstufung: Sicherheitsrelevante Ereignisse kommen in den schnellen, durchsuchbaren Speicher, ausführliche Protokolle für die spätere Auswertung in einen günstigeren Archivspeicher. Die Aufbewahrungsdauer muss zu der Zeit passen, die ein Angriff unentdeckt bleiben kann, sonst fehlen im Ernstfall genau die Daten vom Anfang.