SIEM (Security Information and Event Management): Bedeutung, Funktionen und Tools

Was ist ein SIEM?

SIEM steht für Security Information and Event Management. Jeder Server, jede Firewall und jede Anwendung schreibt Protokolle, sogenannte Logs. Einzeln sagen sie wenig. Ein SIEM sammelt sie an einer Stelle und erkennt Zusammenhänge, die sonst niemand sieht.

Ein Bild: Jedes System ist ein Zeuge, der nur einen kleinen Ausschnitt gesehen hat. Das SIEM ist die Ermittlerin, die alle Aussagen zusammenführt und daraus den Tathergang rekonstruiert.

Der Begriff wurde 2005 von Analysten des Marktforschers Gartner geprägt. Er verbindet zwei ältere Ansätze: Security Information Management (SIM) zum Sammeln und Aufbewahren und Security Event Management (SEM) zur Auswertung in Echtzeit.

So funktioniert ein SIEM

1. Sammeln: Agenten oder Schnittstellen liefern Logs von Servern, Endgeräten, Firewalls, Cloud-Diensten und Anwendungen.
2. Vereinheitlichen: Jede Quelle schreibt anders. Das SIEM bringt die Einträge in ein gemeinsames Format.
3. Verknüpfen (Korrelation): Regeln verbinden einzelne Ereignisse zu einem Muster.
4. Alarmieren: Trifft eine Regel zu, entsteht ein Alarm mit allen zugehörigen Daten.
5. Untersuchen: Analysten durchsuchen die Daten, bauen eine Zeitleiste und bewerten den Vorfall.
6. Aufbewahren und berichten: Die Daten bleiben für Forensik, Audits und Nachweise erhalten.

Typische Use Cases

Ein Use Case ist eine konkrete Frage, die das SIEM beantworten soll. Beispiele:

• Passwortangriffe: viele fehlgeschlagene Anmeldungen, gefolgt von einer erfolgreichen. Siehe Brute Force.
• Unmögliche Reisen: dasselbe Konto meldet sich innerhalb weniger Minuten aus zwei weit entfernten Ländern an.
• Neue Administratoren: ein Konto erhält plötzlich Admin-Rechte, außerhalb der Arbeitszeit.
• Datenabfluss: ungewöhnlich große Datenmengen verlassen das Netz.
• Manipulierte Dateien: wichtige Systemdateien werden verändert.
• Abgeschaltete Protokolle: ein System hört plötzlich auf, Logs zu senden.

Ein Beispiel: Um 3 Uhr nachts scheitern 200 Anmeldeversuche an einem VPN-Zugang. Kurz darauf klappt einer, und das Konto greift auf einen Dateiserver zu. Einzeln fällt das kaum auf. Das SIEM verknüpft die Ereignisse und schlägt Alarm.

SIEM, SOC, XDR und SOAR

• SIEM: das Werkzeug, das Daten sammelt, verknüpft und Alarme erzeugt.
• SOC: das Team, das Alarme bewertet und reagiert. Siehe Security Operations Center.
• XDR: Erkennung und Reaktion über Endgeräte, E-Mail, Netzwerk und Cloud, mit fertigen Regeln.
• SOAR: automatisiert Abläufe, etwa das Sperren eines Kontos nach einem bestimmten Alarm.

Die Grenzen verschwimmen. Viele SIEM-Lösungen enthalten inzwischen XDR- und SOAR-Funktionen.

SIEM-Tools im Überblick

• Kommerzielle Lösungen: etwa Splunk, Microsoft Sentinel oder IBM QRadar. Oft umfangreich, aber teuer, weil häufig nach Datenmenge abgerechnet wird.
• Open Source: etwa Wazuh oder Elastic Security. Keine Lizenzgebühren, aber Aufwand für Betrieb und Regelpflege.
• Als Service: Ein Dienstleister betreibt das SIEM und bewertet die Alarme gleich mit.

Wichtige Auswahlkriterien: Wo liegen die Daten? Wie wird abgerechnet? Welche Regeln sind schon vorhanden? Lassen sich Ihre Systeme leicht anbinden? Und wer kümmert sich um den Betrieb?

Vorteile

• Überblick: alle sicherheitsrelevanten Ereignisse an einer Stelle.
• Früherkennung: Angriffe fallen auf, bevor großer Schaden entsteht.
• Schnellere Aufklärung: Bei einem Vorfall sind die Spuren schon gesammelt.
• Compliance: Nachweise für Audits und Meldepflichten. Siehe Security Logging und Monitoring.

Herausforderungen

• Datenflut: Wer alles sammelt, ertrinkt in Daten. Besser gezielt mit wichtigen Quellen starten.
• Falschalarme: Regeln müssen auf die eigene Umgebung abgestimmt werden, sonst ignoriert das Team die Alarme.
• Kosten: Speicher, Lizenzen und Personal summieren sich.
• Fachkräfte: Ein SIEM braucht Menschen, die Alarme bewerten, oft rund um die Uhr.
• Datenschutz: Logs enthalten personenbezogene Daten. Zweck, Zugriffe und Speicherdauer müssen geregelt sein.

Ein SIEM einführen in fünf Schritten

1. Ziele festlegen: Welche Angriffe wollen Sie erkennen, welche Nachweise brauchen Sie?
2. Quellen auswählen: mit den wichtigsten beginnen, etwa Anmeldedienste, Firewall, VPN und kritische Server.
3. Use Cases umsetzen: wenige, gut abgestimmte Regeln statt Hunderte ungeprüfte.
4. Abläufe klären: Wer bewertet Alarme, wer entscheidet, wer reagiert?
5. Laufend verbessern: Falschalarme auswerten, neue Quellen und Regeln ergänzen.

SIEM bei SecTepe

In SecTepe.Comm ist ein SIEM fest eingebaut. Es basiert auf Wazuh und läuft in Ihrer eigenen Umgebung. Logs und Sicherheitsereignisse bleiben unter Ihrer Kontrolle. Weil die Software Open Source ist, fallen keine Lizenzgebühren pro Datenmenge oder Agent an. Wer kein eigenes Team für die Auswertung hat, nutzt das Security Operations Center von SecTepe. Es bringt die Plattform zur Auswertung mit oder arbeitet in Ihrem bestehenden SIEM.

Fazit

Ein SIEM sammelt die Protokolle Ihrer Systeme, verknüpft sie und erkennt so Angriffe, die einzeln unsichtbar bleiben. Es ist eine wichtige Grundlage für Erkennung, Aufklärung und Compliance. Den vollen Nutzen bringt es aber erst, wenn jemand die Alarme bewertet und darauf reagiert, ob das eigene Team oder ein SOC.