SIEM: Security Information and Event Management einfach erklärt

SIEM steht für Security Information and Event Management. Ein SIEM-System sammelt sicherheitsrelevante Ereignisse und Protokolldaten aus unterschiedlichen IT-Systemen, führt sie zentral zusammen und analysiert sie auf verdächtige Aktivitäten.

Ziel ist es, mögliche Cyberangriffe frühzeitig zu erkennen, Sicherheitsvorfälle nachvollziehbar zu untersuchen und die Reaktion der zuständigen IT- oder Sicherheitsteams zu unterstützen.

Wie funktioniert ein SIEM?

Ein SIEM erhält Daten aus zahlreichen Quellen innerhalb einer IT-Umgebung. Dazu gehören beispielsweise:

• Server und Arbeitsplatzcomputer
• Firewalls und Netzwerkgeräte
• Betriebssysteme
• Anwendungen und Datenbanken
• Active Directory und Microsoft Entra ID
• Cloud-Plattformen
• VPN- und Remote-Zugänge
• Endpoint-Sicherheitslösungen
• E-Mail-Systeme
• Webserver und Proxy-Systeme

Die eingehenden Ereignisse werden vereinheitlicht, gespeichert und anhand von Regeln, Analysen oder bekannten Angriffsmustern ausgewertet.

Erkennt das SIEM eine auffällige Kombination von Ereignissen, erstellt es einen Alarm für die zuständigen Sicherheitsanalysten.

Was bedeutet Ereigniskorrelation?

Ein einzelnes Ereignis ist häufig noch kein eindeutiger Hinweis auf einen Angriff.

Mehrere zusammenhängende Ereignisse können jedoch ein auffälliges Muster ergeben. Dies wird als Korrelation bezeichnet.

Ein Beispiel:

1. Bei einem Benutzerkonto treten zahlreiche fehlgeschlagene Anmeldungen auf.
2. Kurz danach gelingt eine Anmeldung aus einem ungewöhnlichen Land.
3. Das Konto erhält administrative Berechtigungen.
4. Anschließend werden große Datenmengen heruntergeladen.

Jedes Ereignis für sich könnte eine harmlose Ursache haben. In Kombination entsteht jedoch ein möglicher Hinweis auf eine Kontenübernahme.

Welche Funktionen bietet ein SIEM?

Zentrale Protokollsammlung

Das SIEM speichert Protokolle aus verschiedenen Systemen an einem zentralen Ort.

Dadurch müssen Administratoren bei einem Vorfall nicht jedes Gerät einzeln untersuchen. Gleichzeitig können Protokolle vor Manipulation auf dem Ursprungssystem geschützt werden.

Überwachung und Alarmierung

Regeln und Analyseverfahren überwachen die eingehenden Daten auf ungewöhnliche Aktivitäten.

Mögliche Warnungen betreffen beispielsweise:

• wiederholte fehlgeschlagene Anmeldungen
• administrative Zugriffe außerhalb üblicher Zeiten
• neue privilegierte Benutzerkonten
• deaktivierte Sicherheitsfunktionen
• ungewöhnliche Netzwerkverbindungen
• verdächtige Prozessstarts
• große oder ungewöhnliche Datenübertragungen

Dashboards und Berichte

Dashboards zeigen den aktuellen Sicherheitsstatus, offene Warnungen und wichtige Kennzahlen.

Berichte können außerdem Audits, interne Kontrollen und die Dokumentation definierter Sicherheitsprozesse unterstützen.

Forensische Analyse

Bei einem Sicherheitsvorfall können Analysten historische Ereignisse durchsuchen und einen zeitlichen Ablauf rekonstruieren.

Damit lässt sich beispielsweise untersuchen:

• wann der Angriff begann
• welche Konten betroffen waren
• welche Systeme erreicht wurden
• welche Daten möglicherweise abgerufen wurden
• welche Sicherheitskontrollen reagiert haben

Ist ein SIEM dasselbe wie Logmanagement?

Nein. Ein Logmanagement-System sammelt, speichert und durchsucht Protokolldaten.

Ein SIEM ergänzt diese Funktionen um sicherheitsbezogene Analysen, Korrelationen, Alarmierungen und die Unterstützung von Untersuchungen.

Die Grenzen können in der Praxis fließend sein. Viele moderne Plattformen kombinieren Logmanagement, SIEM und weitere Sicherheitsfunktionen.

Unterschied zwischen SIEM, EDR und XDR

Ein EDR-System überwacht vor allem Endgeräte und Server. Es erfasst beispielsweise Prozesse, Dateien und Netzwerkverbindungen und kann auf erkannte Bedrohungen reagieren.

XDR verbindet Sicherheitsdaten aus mehreren Bereichen wie Endpoints, Identitäten, E-Mail, Cloud und Netzwerk.

Ein SIEM sammelt dagegen Protokolle aus einer möglichst breiten IT-Umgebung und stellt sie für zentrale Analyse, Korrelation und langfristige Auswertung bereit.

Die Systeme können sich ergänzen. EDR oder XDR liefern detaillierte Sicherheitsereignisse an das SIEM, während das SIEM diese mit weiteren Datenquellen verbindet.

Was ist der Unterschied zwischen SIEM und SOC?

Ein Security Operations Center, kurz SOC, ist eine organisatorische Einheit aus Fachkräften, Prozessen und Technologien zur Überwachung der IT-Sicherheit.

Das SIEM ist häufig eines der zentralen Werkzeuge eines SOC. Es ersetzt jedoch nicht die Analysten, die Alarme bewerten, Untersuchungen durchführen und Reaktionsmaßnahmen koordinieren.

Ohne geregelte Bearbeitung erzeugt ein SIEM lediglich Meldungen, aber keine wirksame Sicherheitsreaktion.

Was bedeutet SOAR?

SOAR steht für Security Orchestration, Automation and Response.

Eine SOAR-Plattform kann wiederkehrende Analyse- und Reaktionsschritte automatisieren. Beispielsweise kann sie:

• zusätzliche Informationen zu einer IP-Adresse abrufen
• ein verdächtiges Konto zur Prüfung markieren
• ein Ticket erstellen
• betroffene Systeme identifizieren
• einen vordefinierten Reaktionsablauf starten

Automatisierte Maßnahmen müssen sorgfältig geprüft werden, damit Fehlalarme nicht zu unnötigen Sperrungen oder Betriebsunterbrechungen führen.

Welche Vorteile bietet ein SIEM?

Ein SIEM kann Unternehmen mehrere Vorteile bieten:

• zentrale Sicht auf sicherheitsrelevante Ereignisse
• frühere Erkennung möglicher Angriffe
• bessere Untersuchung von Sicherheitsvorfällen
• Verknüpfung unterschiedlicher Datenquellen
• Unterstützung von Incident Response
• nachvollziehbare Protokollierung
• Unterstützung bei Audits und Compliance
• Erkennung langfristiger Angriffsmuster
• bessere Zusammenarbeit zwischen IT und Sicherheitsteam

Der tatsächliche Nutzen hängt jedoch von Datenqualität, Konfiguration und fachlicher Betreuung ab.

Welche Herausforderungen gibt es?

Ein SIEM ist kein sofort einsatzbereiter Schutzmechanismus. Aufbau und Betrieb können anspruchsvoll sein.

Typische Herausforderungen sind:

• sehr große Datenmengen
• hohe Speicher- und Lizenzkosten
• unvollständige Protokollquellen
• zu viele Fehlalarme
• fehlende Priorisierung
• unterschiedliche Zeitstempel und Datenformate
• notwendige Anpassung der Erkennungsregeln
• fehlende Fachkräfte für die Auswertung
• Schutz der zentral gespeicherten Protokolle

Nicht jede verfügbare Protokollquelle muss vollständig gespeichert werden. Entscheidend ist, welche Daten für Erkennung, Untersuchung und Nachweispflichten tatsächlich benötigt werden.

Worauf sollte bei der Einführung geachtet werden?

Vor der Einführung sollten Unternehmen festlegen:

• welche Bedrohungen erkannt werden sollen
• welche Systeme besonders kritisch sind
• welche Protokolle benötigt werden
• wie lange Daten gespeichert werden
• wer Alarme bearbeitet
• welche Eskalationswege gelten
• welche Reaktionszeiten erforderlich sind
• welche personenbezogenen Daten verarbeitet werden
• wie die SIEM-Plattform selbst abgesichert wird

Die Erkennungsregeln sollten regelmäßig geprüft und an neue Systeme, Angriffsverfahren und Erfahrungen aus Sicherheitsvorfällen angepasst werden.

Fazit

Ein SIEM sammelt und analysiert sicherheitsrelevante Ereignisse aus unterschiedlichen IT-Systemen. Durch die zentrale Auswertung und Korrelation können verdächtige Aktivitäten erkannt und Sicherheitsvorfälle besser untersucht werden.

Ein wirksames SIEM benötigt jedoch geeignete Datenquellen, abgestimmte Erkennungsregeln und klare Reaktionsprozesse. Erst in Verbindung mit qualifizierten Analysten und einem funktionierenden Incident Response entsteht daraus eine belastbare Sicherheitsüberwachung.