Perspektive unserer Experten

Da SIEM weiterhin eine der größten Investitionen von Organisationen ist, wird es auch weiterhin das Zentrum sein. Wie die Aufnahme von UEBA in das SIEM bewegt sich der SOAR in die gleiche Richtung.

Lesen Sie das vollständige Interview

Matthias v. Knobelsdorf

Sales Director DACH bei Cyberbit

Automatische Überprüfungen der Log Files durch ein SIEM geben Aufschlüsse über mögliche Incidents in Echtzeit

SIEM Plattformen lesen Log-Dateien aus unterschiedlichen Quellen und analysieren die Daten über Korrelationen auf Anomalien hin. Vielfach finden SIEM Plattformen in der Security Verwendung. Ein Einsatz ist aber nicht darauf eingeschränkt, sondern kann – je nach Use Case – auch Non-Security Daten auf Auffälligkeiten hin untersuchen.
Herausforderungen bei der Auswahl und Einführung liegen im
– Design der Lösung (u.a. Cloudbasiert vs. On-Premises, intern betrieben vs. externem Managed Service)
– Auswahl der individuell relevanten Use Cases
– Auswahl der geeigneten Log-Quellen und Ermittlung des Log-Volumen (z.B. GB Logs pro Tag)
– Operations-Konzept nach der Implementierung (interne Aufwände,…)

In vielen Fällen wird ein SIEM in ein Security Operations Center (SOC) integriert. Ein SOC umfasst im Kern das dauerhafte Beobachten einer definierten IT-Umgebung in Bezug auf sicherheitsrelevante Ereignisse („Events“). Dazu werden in der Regel Log-Dateien und / oder Datenverkehr auf verdächtige Informationen analysiert. Dabei geht es um das Aufdecken von Bedrohungsszenarien („Detect“) und der nachgelagerten, individuell passenden Gegenreaktion („Response“). Das SIEM stellt dabei eine wichtige Log-Quelle zur Auswertung und Überwachung im SOC dar.

SOC: Mehr erfahren