Cloud-SIEM: Ein Leitfaden zu Funktionen, Vorteilen und Bereitstellungsmodellen

Die Art und Weise, wie Unternehmen ihre Sicherheit verwalten, hat sich nachhaltig verändert. Die Infrastruktur, die früher hinter einer Firewall lag, erstreckt sich heute über Cloud-Plattformen, SaaS-Anwendungen, Remote-Endpunkte und hybride Umgebungen, die mehrere Rechenzentren und Anbieter umfassen. Die Perimeter-Sicherheit gibt es nicht mehr. Die Daten, die sie früher schützen sollte, sind verstreut. Und die Sicherheitstools, die für eine Welt entwickelt wurden, in der sich alles vor Ort befand, haben Mühe, Schritt zu halten.

Cloud-SIEM ist die Antwort auf diesen Wandel. Es nutzt Funktionen für das Sicherheitsinformations- und Ereignismanagement in einer cloud-nativen Architektur und bietet Unternehmen denselben zentralen Überblick, dieselbe Bedrohungserkennung und dieselbe Compliance-Abdeckung, die sie von einem herkömmlichen SIEM erwarten würden – ohne den Infrastrukturaufwand, die Hardware-Einschränkungen oder die Skalierungsgrenzen, die den Betrieb älterer Lösungen so kostspielig machten.

Laut Mordor Intelligence ist das cloudbasierte SIEM mittlerweile das am schnellsten wachsende Segment des SIEM-Marktes und verzeichnet eine durchschnittliche jährliche Wachstumsrate (CAGR) von 12,84 %, da Unternehmen zunehmend von kapitalintensiven On-Premise-Lösungen abrücken. Dieses Wachstum ist nicht darauf zurückzuführen, dass Cloud-SIEM gerade im Trend liegt. Es entsteht vielmehr, weil es echte Probleme löst, die mit On-Premise-SIEM-Lösungen bisher nicht bewältigt werden konnten.

Dieser Leitfaden erläutert, was Cloud-SIEM ist, wie es sich von On-Premise-Lösungen unterscheidet, welche Funktionen und Bereitstellungsmodelle am wichtigsten sind und worauf Sie bei der Bewertung von Lösungen achten sollten – einschließlich der Art und Weise, wie Kaseya SIEM diese Kriterien erfüllt.

Was ist Cloud-SIEM?

Cloud-SIEM ist eine Lösung für das Sicherheitsinformations- und Ereignismanagement (Security Information and Event Management), die über eine Cloud-Infrastruktur bereitgestellt wird, anstatt vor Ort installiert zu werden. Sie erfasst und bündelt Protokoll- und Ereignisdaten aus der gesamten IT-Umgebung eines Unternehmens, einschließlich Endgeräten, Netzwerkgeräten, Cloud-Plattformen, SaaS-Anwendungen und Identitätssystemen, normalisiert diese Daten in ein einheitliches Format und wendet Korrelationsregeln sowie Verhaltensanalysen an, um Bedrohungen zu erkennen und in Echtzeit Warnmeldungen zu generieren.

Der Begriff „Cloud“ in „Cloud-SIEM“ bezieht sich auf die Art und Weise, wie die Lösung bereitgestellt und betrieben wird. Anstatt Server bereitzustellen, Speicherkapazitäten zu verwalten und Software in Ihrer eigenen Infrastruktur zu warten, läuft das SIEM auf einer vom Anbieter verwalteten Cloud-Infrastruktur. Dadurch verlagert sich der operative Aufwand für die Wartung eines SIEM von Ihrem Team auf den Anbieter, während Ihr Sicherheitsteam über eine browserbasierte Oberfläche weiterhin Zugriff auf alle Funktionen zur Erkennung, Untersuchung und Compliance-Überprüfung hat.

„Cloud-SIEM“ wird je nach Quelle unterschiedlich bezeichnet. Die Begriffe „Cloud-basiertes SIEM“ und „SIEM-as-a-Service“ werden in den meisten Zusammenhängen synonym mit „Cloud-SIEM“ verwendet. „Cloud-natives SIEM“ ist ein spezifischerer Begriff, der sich auf Lösungen bezieht, die von Grund auf für den Einsatz in Cloud-Umgebungen entwickelt wurden – im Gegensatz zu herkömmlichen SIEM-Lösungen, die nachträglich für die Bereitstellung in der Cloud angepasst wurden. Diese Unterscheidung ist bei der Bewertung von Anbietern von Bedeutung, da eine cloudnative Architektur in der Regel Skalierbarkeit, mandantenfähige Umgebungen und API-basierte Integrationen effektiver bewältigt als ein Legacy-SIEM, das lediglich in ein Cloud-Hosting-Modell eingebunden ist.

Falls Sie sich mit SIEM noch überhaupt nicht auskennen, vermittelt Ihnen unsere allgemeine Einführung in SIEM einen umfassenden Überblick, bevor Sie sich hier mit den cloudspezifischen Aspekten befassen.

Cloud-SIEM vs. On-Premises-SIEM

Beim Vergleich zwischen Cloud-basierten und lokal installierten SIEM-Lösungen geht es letztlich um Abwägungen hinsichtlich Kosten, Kontrolle, Skalierbarkeit und Amortisationszeit. Keines der beiden Modelle ist grundsätzlich besser, doch für die meisten Unternehmen hat sich das Gleichgewicht deutlich in Richtung Cloud verschoben.

	Cloud-SIEM	Lokales SIEM
Infrastruktur	Anbietergeführte Cloud	Vom Kunden verwaltete Hardware und Software
Bereitstellungszeit	Tage bis Wochen	Wochen bis Monate
Skalierbarkeit	Elastisch, skaliert mit dem Datenvolumen	Durch die Hardwarekapazität begrenzt
Anfangskosten	Gering, in der Regel auf Abonnementbasis	Hohe Investitionsausgaben
Laufende Wartungsarbeiten	Wird vom Anbieter abgewickelt	Erfordert ein internes Team
Updates und Patches	Automatisch	Manuell, oft mit Verzögerung
Datenkontrolle	Je nach Anbieter unterschiedlich	Volle Kontrolle vor Ort
Einhaltung von Vorschriften in regulierten Umfeldern	Unterstützt, Bedingungen zur Datenspeicherung prüfen	Einfacher bei strengen Anforderungen an die Datenhoheit
Transparenz in Multi-Cloud-Umgebungen	Starke, native Integrationen mit AWS/Azure/GCP	Eingeschränkt ohne benutzerdefinierte Konnektoren

Hier sehen Sie im Detail, was Sie beim Vergleich der beiden Modelle beachten sollten:

Kosten

Ein lokal installiertes SIEM-System erfordert erhebliche Anfangsinvestitionen. Hardware, Speicherplatz, Softwarelizenzen und die Infrastruktur für den Betrieb müssen bereitgestellt werden, bevor überhaupt Protokolldaten analysiert werden können. Da das Datenvolumen stetig wächst, muss immer mehr Hardware hinzugefügt werden. Die Kosten steigen exponentiell an, und der operative Aufwand für die Verwaltung lastet auf Ihrem internen Team.

Cloud-SIEM macht diese Investitionskosten überflüssig. Sie zahlen nur für das, was Sie tatsächlich nutzen – in der Regel pro Benutzer oder pro Datenvolumen –, während der Anbieter die Infrastrukturkosten übernimmt. Für Unternehmen, denen ein SIEM der Enterprise-Klasse bisher aus Kostengründen verwehrt blieb, ist dies die Veränderung, die eine moderne Bedrohungserkennung finanziell erschwinglich gemacht hat.

Skalierbarkeit

Herkömmliche lokale SIEM-Lösungen wurden für Umgebungen mit vorhersehbaren Datenmengen und relativ stabilen Architekturen entwickelt. Moderne Umgebungen funktionieren jedoch anders. Ein hybrides Unternehmen kann gleichzeitig Sicherheitsereignisse von Dutzenden von Cloud-Diensten, Hunderten von SaaS-Anwendungen und Tausenden von Endpunkten erfassen. Wenn etwas Ungewöhnliches passiert, kann das Ereignisvolumen dramatisch ansteigen. Ein lokales SIEM, das für normale Betriebsbedingungen ausgelegt ist, versagt genau bei den Vorfällen, für deren Erkennung es eigentlich konzipiert wurde.

Cloud-SIEM-Plattformen lassen sich elastisch skalieren, sodass Speicher- und Rechenressourcen bei steigendem Ereignisaufkommen automatisch erweitert werden können. Der Anbieter sorgt für die Systemleistung und die Skalierbarkeit der Infrastruktur, während die Umgebungen wachsen, sodass keine Kapazitätsplanung oder die Vorabbereitstellung zusätzlicher Hardware erforderlich ist.

Wartung

Um ein lokal installiertes SIEM-System effektiv zu betreiben, sind spezialisierte Mitarbeiter erforderlich. Jemand muss die Infrastruktur verwalten, Software-Updates installieren, Integrationen pflegen, Korrelationsregeln optimieren und den Systemzustand überwachen. Für viele Unternehmen ist dieser hohe Ressourcenaufwand der eigentliche Grund dafür, dass ihre SIEM-Investition hinter den Erwartungen zurückbleibt. Das Tool ist zwar vorhanden, wird aber nie voll genutzt, da niemand die Zeit hat, es mit seiner vollen Leistungsfähigkeit am Laufen zu halten.

Bei einem Cloud-SIEM wird der Großteil dieses Wartungsaufwands auf den Anbieter verlagert. Updates erfolgen automatisch. Die Integrationen werden vom Anbieter gepflegt. Die Überwachung der Infrastruktur ist nicht Ihr Problem. Ihr Team konzentriert sich darauf, was das SIEM Ihnen mitteilt, und nicht darauf, den Betrieb aufrechtzuerhalten.

Besondere Umstände

On-Premises-SIEM-Lösungen bieten in bestimmten Kontexten nach wie vor Vorteile. Unternehmen mit strengen Anforderungen an die Datenhoheit, die verbieten, dass sensible Protokolldaten die eigene Infrastruktur verlassen, haben möglicherweise keine andere Wahl, als eine On-Premises-Lösung zu betreiben. Ähnliche Einschränkungen gelten für isolierte Umgebungen im Verteidigungsbereich oder in kritischen Infrastruktursektoren. Und Unternehmen, die bereits umfangreiche Investitionen in eine lokale SIEM-Infrastruktur getätigt haben und über das Personal verfügen, um diese gut zu betreiben, könnten zu dem Schluss kommen, dass ein hybrider Ansatz – bei dem regulierte Daten lokal und alles andere in der Cloud verarbeitet wird – sinnvoller ist als eine vollständige Migration.

Die wichtigsten Funktionen von Cloud-SIEM

Cloud-SIEM-Lösungen verfügen über gemeinsame Kernfunktionen, doch die Qualität und der Umfang der Implementierung unterscheiden sich je nach Anbieter erheblich. Hier erfahren Sie, was ein Cloud-SIEM der aktuellen Generation leisten sollte.

Protokoll-Erfassung und -Normalisierung aus Cloud- und lokalen Quellen
Ein Cloud-SIEM sollte Daten aus der gesamten Bandbreite an Quellen einer modernen IT-Umgebung erfassen, darunter AWS CloudTrail, Azure Monitor, Google Cloud-Auditprotokolle, Microsoft 365, SaaS-Anwendungen, lokale Netzwerkgeräte und Endpunkt-Agenten. Vorgefertigte Konnektoren für gängige Quellen verkürzen die Integrationszeit im Vergleich zur Entwicklung benutzerdefinierter Konnektoren erheblich.

Echtzeit-Bedrohungserkennung mit Verhaltensanalysen
Die cloudnative Architektur verändert die Bedeutung des Begriffs „Echtzeit“. Da Speicher- und Rechenkapazitäten elastisch skalieren, kann ein Cloud-SIEM Verhaltensanalysen und Machine-Learning-Modelle auf das gesamte Volumen der erfassten Daten anwenden, ohne dass es zu den Leistungseinbußen kommt, die bei On-Premises-Systemen mit steigendem Datenvolumen auftreten. Regelbasierte Korrelation identifiziert bekannte Angriffsmuster. Verhaltensanalysen erkennen Anomalien, die keiner vordefinierten Regel entsprechen – darunter „Low-and-Slow“-Angriffe, kompromittierte Anmeldedaten und Insider-Bedrohungen – und zwar in dem Umfang, wie er in modernen Umgebungen anfällt.

KI-gestützte Untersuchung
Moderne Cloud-basierte SIEM-Tools nutzen zunehmend KI, um Analysten dabei zu unterstützen, Warnmeldungen schneller zu bearbeiten. Die Abfrage von Sicherheitsdaten in natürlicher Sprache, KI-generierte Zusammenfassungen von Warnmeldungen und die automatisierte Rekonstruktion von Zeitachsen verkürzen die Zeit zwischen Warnmeldung und Lösung – so können Analysten kompromittierte Ressourcen aufdecken und Anomalien identifizieren, ohne manuelle Abfragen schreiben zu müssen. Weitere Informationen darüber, wie KI die Erkennung und Untersuchung mit SIEM verändert, finden Sie in unserem Beitrag zu KI-SIEM.

Regeln für automatisierte Reaktionen
Wenn eine bestätigte Bedrohung erkannt wird, sollte das SIEM in der Lage sein, zu reagieren, ohne auf ein manuelles Eingreifen eines Analysten zu warten. Regeln für automatisierte Reaktionen können ein Gerät isolieren, ein Konto sperren, eine ablaufende Sitzung kennzeichnen oder einen Workflow in verbundenen Tools auslösen. Dank der Bereitstellung in der Cloud können diese Regeln in einem einzigen Schritt gleichzeitig über Cloud-Anwendungen und Endgeräte hinweg ausgeführt werden – etwas, das lokale SIEM-Architekturen mit separaten Cloud-Konnektoren in der Regel nicht leisten können.

Langfristige Protokollaufbewahrung mit vollständiger Durchsuchbarkeit
Bei lokalen SIEM-Lösungen muss angesichts steigender Speicherkosten regelmäßig ein Kompromiss zwischen Aufbewahrungsdauer und Abfrageleistung eingegangen werden. Anbieter von Cloud-SIEM-Lösungen nutzen elastischen, vom Anbieter verwalteten Speicher, der sich automatisch an das Datenwachstum anpasst. Dadurch können Unternehmen Richtlinien zur langfristigen Aufbewahrung anwenden, ohne zusätzliche Hardware bereitstellen zu müssen oder Einbußen bei der Suchgeschwindigkeit in Kauf zu nehmen. Eine durchsuchbare Aufbewahrungsdauer von 400 Tagen oder mehr deckt die meisten Compliance-Rahmenwerke ab, ohne dass eine separate Archivierungsinfrastruktur erforderlich ist.

Verwaltung in mandantenfähigen Umgebungen
Für Unternehmen, die die Sicherheit über mehrere Umgebungen hinweg verwalten – seien es verschiedene Geschäftsbereiche, Tochtergesellschaften oder Kundenumgebungen –, ist die Möglichkeit, jede Umgebung separat einzusehen und zu verwalten und gleichzeitig eine zentralisierte Übersicht zu behalten, eine wesentliche betriebliche Anforderung. Ein speziell für mandantenfähige Umgebungen entwickeltes Cloud-SIEM macht dies ganz einfach. On-Premise-SIEM-Lösungen sind hierfür in der Regel schlecht geeignet, da sie separate Instanzen pro Umgebung erfordern und keine einheitliche Übersicht über alle Umgebungen hinweg bieten.

Compliance-Berichterstellungs
Dank seines elastischen Speichers und seiner ständigen Verfügbarkeit eignet sich Cloud SIEM besonders gut für die kontinuierliche Überwachung und langfristige Protokollspeicherung, die von Compliance-Rahmenwerken vorgeschrieben sind. Vorgefertigte Berichtsvorlagen für HIPAA, PCI-DSS, „ DSGVO “, SOC 2 und NIST 800-53 reduzieren den manuellen Aufwand zur Erfüllung von Audit-Anforderungen, und die Möglichkeit, Berichte auf der Grundlage eines vollständigen, durchsuchbaren Protokollarchivs ohne Speicherlücken zu erstellen, ist etwas, das On-Premise-Bereitstellungen häufig nicht gewährleisten können.

Vorteile von Cloud-SIEM

Die Argumente für Cloud-basiertes SIEM beruhen auf einer Reihe praktischer Vorteile, die sich über die gesamte Lebensdauer der Lösung hinweg summieren.

Unternehmen, die von einem lokalen SIEM auf ein Cloud-SIEM umsteigen, berichten durchweg von einer schnelleren Amortisationszeit. Während bei einer lokalen Bereitstellung oft monatelange Arbeiten zur Bereitstellung der Infrastruktur und zur Integration erforderlich sind, bevor die erste Warnmeldung ausgelöst wird, erfasst ein Cloud-SIEM in der Regel bereits innerhalb weniger Tage Daten und liefert aussagekräftige Ergebnisse. Die Konnektoren sind bereits vorinstalliert. Die Infrastruktur ist bereits in Betrieb. Es müssen lediglich noch die Quellen konfiguriert und die Erkennungslogik angepasst werden.

Der zweite wesentliche Vorteil sind die geringeren Gesamtbetriebskosten. Es muss keine Hardware angeschafft, kein Platz im Rechenzentrum bereitgestellt und keine Infrastruktur gewartet werden. Die vorhersehbaren Abonnementkosten für Cloud-SIEM erleichtern die Budgetplanung erheblich im Vergleich zu den variablen Investitionskosten bei lokalen Bereitstellungen.

Der dritte Punkt ist die Betriebskontinuität. Anbieter von Cloud-SIEM-Lösungen sorgen im Rahmen ihres Dienstes für die Aufrechterhaltung der Verfügbarkeit, installieren Sicherheitspatches und überwachen den Zustand der Infrastruktur. Ein Szenario, bei dem ein lokal installiertes SIEM-System während eines Sicherheitsvorfalls ausfällt, weil ein Server gewartet werden muss, wird durch die Cloud-Architektur ausgeschlossen.

Transparenz in Hybrid- und Multi-Cloud-Umgebungen ist ein Vorteil, der auf andere Weise immer schwerer zu erreichen ist. Durch native Integrationen mit AWS, Azure und Google Cloud erhält das Cloud-SIEM direkten Zugriff auf die von diesen Umgebungen generierten Telemetriedaten – ohne die Latenz und Komplexität, die mit der Weiterleitung von Cloud-Protokollen über einen lokalen Aggregator verbunden sind.

Schließlich bringt die Verlagerung von Investitionsausgaben hin zu Betriebsausgaben organisatorische Vorteile, die über den IT-Bereich hinausgehen. Sicherheitsbudgets, die zuvor an mehrjährige Abschreibungszyklen für Hardware gebunden waren, werden flexibler. Ressourcen, die zuvor für die Wartung der Infrastruktur eingesetzt wurden, können sich nun auf den Sicherheitsbetrieb konzentrieren.

Bereitstellungsmodelle für Cloud-SIEM

Nicht alle Cloud-SIEM-Lösungen sind gleich aufgebaut. Es gibt drei unterschiedliche Bereitstellungsmodelle, die jeweils unterschiedliche Kompromisse hinsichtlich Kosten, Kontrolle und Anbieterverantwortung mit sich bringen.

In der Cloud gehostet (Single-Tenant-Verwaltung)

Der SIEM-Anbieter hostet die Lösung in der Cloud auf einer dedizierten Infrastruktur für einen einzelnen Kunden. Der Anbieter verwaltet die Hardware und Software. Der Kunde profitiert im Vergleich zu einer lokalen Lösung von einer geringeren Verantwortung für die Infrastruktur, verfügt jedoch über eine stärkere Datenisolierung als in einer gemeinsam genutzten Umgebung. Dieses Modell ist in der Regel teurer als vollständig mandantenfähiges SaaS, kann jedoch für Unternehmen erforderlich sein, deren Vorschriften zur Datenspeicherung die Nutzung einer gemeinsam genutzten Infrastruktur verbieten.

Cloud-natives SaaS (mandantenfähig)

Das vollständige Software-as-a-Service-Modell. Der Anbieter verwaltet die gesamte Hardware, Software und Infrastruktur in einer gemeinsam genutzten Mandantenarchitektur, in der die Daten jedes Kunden isoliert sind, die Backend-Ressourcen jedoch gebündelt werden. Dieses Modell bietet die niedrigsten Kosten, die größte Skalierbarkeit und die schnellste Bereitstellung. Anbieter können das Produkt für alle Kunden gleichzeitig aktualisieren und verbessern, ohne dass für jeden Kunden separate Upgrade-Zyklen erforderlich sind. Dieses Modell macht Cloud-SIEM auch für kleine und mittelständische Unternehmen finanziell erschwinglich.

Hybrid

Die lokale Infrastruktur verarbeitet Daten, die aufgrund von Souveränitäts- oder regulatorischen Anforderungen die Umgebung des Kunden nicht verlassen dürfen, während die Cloud-Infrastruktur alles andere übernimmt. Analysen und Korrelationen werden in der Cloud anhand des aggregierten Datensatzes durchgeführt. Dieses Modell ist in stark regulierten Branchen und im staatlichen Umfeld üblich, wo bestimmte Daten unter der direkten Kontrolle des Kunden bleiben müssen.

Für die meisten MSPs, IT-Teams und mittelständischen Unternehmen, die keinen strengen Auflagen hinsichtlich der Datenhoheit unterliegen, bietet das cloudnative SaaS-Modell die beste Kombination aus Kosten, Leistungsfähigkeit und einfacher Handhabung.

Anwendungsfälle für Cloud-SIEM

Cloud-SIEM eignet sich für eine Vielzahl von Sicherheitsanwendungsfällen, von denen viele mit lokalen Installationen nur schwer oder gar nicht effektiv gelöst werden können.

zur Sicherheitsüberwachung in Hybrid- und Multi-Cloud-Umgebungen Ein Unternehmen, das Workloads über AWS, Azure und ein lokales Rechenzentrum hinweg ausführt, benötigt eine Sicherheitsebene, die alle drei Umgebungen gleichzeitig im Blick hat. Ein Cloud-SIEM mit nativen Integrationen über verschiedene Cloud-Anbieter hinweg bietet diese einheitliche Übersicht, ohne dass für jede Umgebung eine separate Aggregationsebene erforderlich ist.

SaaS-Anwendungssicherheit
Microsoft 365, Salesforce, Slack und andere SaaS-Anwendungen generieren sicherheitsrelevante Ereignisse – Authentifizierung, Dateizugriff, Berechtigungsänderungen und Datenexporte –, die von lokalen Tools oft nicht erfasst werden können. Ein Cloud-SIEM mit SaaS-Konnektoren führt diese Telemetriedaten zusammen mit Netzwerk- und Endpunktdaten in die Korrelations-Engine ein und verschafft Sicherheitsteams so Einblick in die Anwendungsebene, auf der Angreifer zunehmend aktiv sind.

Schnelle Bereitstellung für wachsende Unternehmen
Unternehmen, die schnell wachsen, haben keine Zeit für monatelange SIEM-Einführungsprojekte. Cloud-SIEM ist innerhalb weniger Tage einsatzbereit und erfasst Daten aus bestehenden Quellen über vorgefertigte Konnektoren, ohne dass eine neue Infrastruktur angeschafft oder komplexe Netzwerkkonfigurationen vorgenommen werden müssen.

„Security-as-a-Service“-Bereitstellung
Für Unternehmen, die Sicherheitsdienste für Dritte bereitstellen – darunter IT-Teams, die für mehrere Geschäftsbereiche zuständig sind, sowie MSPs, die Kundenumgebungen verwalten –, ermöglicht ein Cloud-SIEM mit mandantenfähiger Architektur den praktischen Betrieb einer einzigen SIEM-Instanz, die alle Umgebungen abdeckt und für jede einzelne separate Transparenz und Berichterstellung bietet. Die Alternative – ein separates On-Premises-SIEM pro Umgebung – ist im großen Maßstab betrieblich und finanziell nicht tragbar.

Compliance in verteilten und Multi-Cloud-Infrastrukturen
Lokale SIEM-Lösungen haben Schwierigkeiten, ein lückenloses Compliance-Protokoll zu erstellen, wenn die Infrastruktur über mehrere Standorte, Cloud-Anbieter und Netzwerksegmente verteilt ist, da die Protokolle vor der Analyse über den lokalen Aggregator geleitet werden müssen, was zu Latenzzeiten und potenziellen Lücken führt. Cloud-SIEM-Lösungen erfassen Daten direkt über APIs aus verteilten Quellen und erstellen so einen kontinuierlichen, lückenlosen Protokollverlauf, unabhängig davon, woher die zugrunde liegenden Daten stammen. In Kombination mit elastischem Speicher, der niemals einen Kompromiss zwischen Aufbewahrungsfrist und Kosten erfordert, eignet sich Cloud-SIEM daher besonders gut für Unternehmen mit komplexen, umgebungsübergreifenden Architekturen, die in allen Umgebungen gleichzeitig die Anforderungen von HIPAA, PCI-DSS, „ DSGVO “ oder SOC 2 erfüllen müssen.

Worauf man bei einem Cloud-SIEM achten sollte

Bei der Bewertung von Cloud-SIEM-Lösungen müssen Fragen gestellt werden, die über die übliche Funktionscheckliste hinausgehen. Die Funktionen mögen bei verschiedenen Anbietern ähnlich erscheinen. Die Unterschiede, die in der Praxis am wichtigsten sind, liegen in der Tiefe der Implementierung, der Qualität der Erkennung und der Frage, inwieweit das Betriebsmodell zu Ihrem Team passt.

Umfang und Qualität der Konnektoren
Wie viele native Integrationen umfasst die Lösung und wie tiefgreifend sind diese? Ein Anbieter mit 60 nativen Konnektoren, die saubere, normalisierte Daten liefern, ist nützlicher als einer mit 200 oberflächlichen Integrationen, die umfangreichen Anpassungsaufwand erfordern. Erkundigen Sie sich gezielt nach den Cloud-Plattformen, SaaS-Anwendungen und Endpunkt-Tools in Ihrer aktuellen Umgebung. Erfahren Sie mehr über die Bedeutung von SIEM-Integrationen.

Transparenz der Preismodelle
Die Preismodelle für Cloud-SIEM-Lösungen unterscheiden sich erheblich voneinander. Bei datenmengenbasierten Preismodellen entstehen Unternehmen mit wachsenden Umgebungen und steigenden Datenmengen höhere Kosten, was die Kosten unvorhersehbar machen kann. Nutzerbasierte Preismodelle sorgen für besser vorhersehbare Kosten und halten Unternehmen nicht davon ab, die benötigten Daten zu erfassen. Machen Sie sich mit dem Preismodell vertraut, bevor Sie sich für einen Anbieter entscheiden.

Erkennungsqualität statt bloßer Regelanzahl
Fragen Sie nach, wie Korrelationsregeln gepflegt und aktualisiert werden. Ein Cloud-SIEM mit einer umfangreichen Bibliothek veralteter Regeln bietet weniger Schutz als eines mit einem kleineren, aktiv gepflegten Regelwerk. Fragen Sie, wie schnell neue Regeln als Reaktion auf neu auftretende Bedrohungen hinzugefügt werden und ob Threat-Intelligence-Feeds automatisch integriert werden.

Aufbewahrungsdauer von Protokollen und Suchleistung
Überprüfen Sie die Aufbewahrungsdauer und vergewissern Sie sich, dass historische Protokolle weiterhin vollständig durchsuchbar sind. Einige Anbieter speichern Langzeitprotokolle in einem „Cold Storage“, dessen Abfrage Stunden dauert, was forensische Untersuchungen unpraktikabel macht. Eine durchsuchbare Aufbewahrungsdauer von 400 Tagen oder mehr ist die Grundvoraussetzung, um die meisten Compliance-Rahmenwerke zu erfüllen, ohne die Untersuchungsmöglichkeiten einzuschränken.

Datenspeicherort und Einhaltung gesetzlicher Vorschriften
Anbieter von Cloud-SIEM-Lösungen speichern Protokolldaten in ihrer eigenen Infrastruktur, was bedeutet, dass der Speicherort dieser Daten für die Einhaltung gesetzlicher Vorschriften von Bedeutung ist. Die DSGVO (DSGVO) sieht Beschränkungen für die Übermittlung personenbezogener Daten außerhalb der EU vor. HIPAA und FedRAMP legen im US-amerikanischen Kontext eigene Anforderungen fest. Vergewissern Sie sich vor der Entscheidung für eine Bereitstellung, dass der von Ihnen gewählte Anbieter regionale Datenspeicheroptionen anbietet, die mit den relevanten Rahmenwerken im Einklang stehen. Dies ist ein cloud-spezifischer Aspekt, der bei einem lokalen SIEM-System keine Rolle spielt.

Managed vs. selbstbetriebenes Cloud-
Ein selbstbetriebenes Cloud-SIEM erfordert nach wie vor Analystenkapazitäten, um Warnmeldungen zu untersuchen, Regeln anzupassen und Integrationen zu verwalten. Ein co-managed oder vollständig verwaltetes Cloud-SIEM ergänzt dies durch vom Anbieter bereitgestellten SOC-Support. Für Teams mit begrenzter Personalausstattung im Sicherheitsbereich verändert das Managed-Modell die operativen Möglichkeiten erheblich. Einen tieferen Einblick in das Managed-Service-Modell erhalten Sie in unserem Leitfaden zum Managed SIEM.

Kaseya SIEM: Cloud-nativ, speziell für kleine Teams entwickelt

Cloud-SIEM ist kein einzelnes Produkt. Es handelt sich vielmehr um ein Bereitstellungsmodell, das von einfacher gehosteter Protokollierung bis hin zu vollständig verwalteten, KI-gestützten Sicherheitsabläufen reicht. Die richtige Lösung ist diejenige, die zur Komplexität Ihrer Umgebung, zur Kapazität Ihres Teams und zu den Compliance-Anforderungen passt, die Sie erfüllen müssen.

Kaseya SIEM ist eine cloudnative, gemeinsam verwaltete SIEM-Lösung, die speziell für MSPs und IT-Teams entwickelt wurde, die eine Erkennung auf Unternehmensniveau benötigen, ohne den Personal- und Infrastrukturaufwand, den herkömmliche SIEM-Implementierungen mit sich bringen. Die Lösung korreliert Bedrohungsdaten über mehr als 60 native Konnektoren hinweg, die Endgeräte, Cloud-Anwendungen, Netzwerke, Identitätsanbieter und E-Mail abdecken, und bietet eine durchsuchbare Protokollaufbewahrung von 400 Tagen, die Audit-Anforderungen ohne Ablauffristen erfüllt.

Automatisierte Reaktionsregeln steuern Eindämmungsmaßnahmen gleichzeitig in der Cloud und auf Endgeräten, sperren Konten, isolieren Geräte und kennzeichnen ablaufende Sitzungen, ohne auf manuelle Eingriffe zu warten. Dank KI-gestützter Untersuchungen können Analysten Sicherheitsdaten in natürlicher Sprache abfragen, kompromittierte Ressourcen aufdecken und Anomalien identifizieren, ohne manuelle Abfragen schreiben zu müssen. Und die hauseigenen Analysten von Kaseya überwachen, priorisieren und reagieren rund um die Uhr auf Bedrohungen – unterstützt durch dieselbe KI, die Störsignale reduziert und die Reaktion beschleunigt.

Für Teams, die Cloud-SIEM-Lösungen evaluieren, lautet die entscheidende Frage nicht nur, welche Lösung die meisten Funktionen bietet. Vielmehr geht es darum, welche Lösung Ihr Team vom ersten Tag an tatsächlich in vollem Umfang nutzen kann und welcher Anbieter gemeinsam mit Ihnen die Verantwortung für das Ergebnis übernimmt.