SIEM-Integration: Arten, Vorteile und bewährte Verfahren

Ein SIEM ist nur so nützlich wie die Daten, auf die es Zugriff hat. Selbst die leistungsstärkste Korrelations-Engine der Welt liefert keine aussagekräftigen Ergebnisse, wenn die Hälfte der Umgebung nicht in das System einfließt. Wenn die EDR-Plattform und das SIEM parallel und ohne Integration laufen, wenn die Telemetriedaten von Cloud-Anwendungen in einem separaten Dashboard eingeschlossen sind oder wenn Netzwerkverkehrsdaten nie in die Protokollaggregationsschicht gelangen, entstehen Sichtbarkeitslücken, die die Erkennung und Bekämpfung von Bedrohungen beeinträchtigen. Die SIEM-Integration schließt diese Lücken.

Die SIEM-Integration ist der Prozess, bei dem ein SIEM mit den anderen Sicherheitstools, Plattformen und Datenquellen in Ihrer IT-Umgebung verbunden wird, sodass Protokolldaten zentral zusammenlaufen, Bedrohungen über verschiedene Bereiche hinweg korreliert werden können und das SIEM seine Aufgabe tatsächlich erfüllen kann. Für die meisten Unternehmen ist die Integration keine einmalige Einrichtungsaufgabe. Sie ist ein fortlaufender Bestandteil der Aufrechterhaltung eines Sicherheitsbetriebs, der mit einer sich verändernden Umgebung Schritt hält.

Kaseya SIEM erfasst Telemetriedaten über mehr als 60 native Konnektoren aus Endpunkt-, Cloud-, Netzwerk-, Identitäts- und E-Mail-Quellen. Für alle Quellen, für die noch kein nativer Konnektor entwickelt wurde, steht die Erfassung per Webhook zur Verfügung. So erhalten wir einen direkten Einblick darin, wie sich die Integrationsarchitektur in der Praxis auf die Erkennungsqualität auswirkt.

Was ist eine SIEM-Integration?

Unter SIEM-Integration versteht man den Prozess der Anbindung eines Security Information and Event Management-Systems (SIEM) an andere Tools, Plattformen und Infrastrukturkomponenten in der gesamten IT-Umgebung eines Unternehmens. Ziel ist es, einen zentralisierten Datenfluss sicherheitsrelevanter Daten von Endgeräten, Firewalls, Cloud-Plattformen, Identitätssystemen, SaaS-Anwendungen und Netzwerkgeräten in das SIEM zu schaffen, wo diese Daten normalisiert, korreliert und gemeinsam analysiert werden können.

Ohne Integration erhält ein SIEM nur ein unvollständiges Bild. Es sieht möglicherweise Authentifizierungsprotokolle aus Active Directory, aber nichts aus Cloud-Anwendungen. Es empfängt vielleicht Firewall-Warnmeldungen, aber keine Endpunkt-Telemetriedaten. Bedrohungen, die sich über mehrere Angriffsflächen erstrecken – was auf die meisten ausgeklügelten Angriffe zutrifft –, bleiben entweder unentdeckt oder erfordern eine manuelle Korrelation zwischen nicht miteinander verbundenen Tools. Derselbe verdächtige Anmeldevorgang, der für sich genommen unauffällig erscheint, wird zu einem eindeutigen Angriff unter Verwendung von Anmeldedaten, wenn er mit ungewöhnlichem Prozessverhalten auf demselben Endpunkt und einem Vorfall der Privilegienerweiterung in der Cloud in Zusammenhang gebracht wird – allerdings nur, wenn alle drei Datenquellen in dasselbe System einfließen.

Wenn Sie sich mit SIEM als Kategorie noch nicht auskennen, erfahren Sie in unserem Leitfaden zu SIEM zunächst, wie das System funktioniert und was Sie von einer Implementierung erwarten können, bevor wir uns näher mit der Integrationsschicht befassen.

So funktioniert die SIEM-Integration

Die SIEM-Integration folgt einem einheitlichen technischen Schema, unabhängig davon, welche Tools angebunden werden. Hier ist der allgemeine vierstufige Prozess:

1. Verbindung und Authentifizierung: Das SIEM stellt über eine API eine Verbindung zu jeder Datenquelle her, authentifiziert sich dabei mit einem Token oder Anmeldedaten und fragt in festgelegten Intervallen nach neuen Ereignissen ab. Bei Echtzeitdaten werden Ereignisse über Webhooks sofort nach ihrem Auftreten an das SIEM weitergeleitet. Ältere oder spezialisierte Systeme nutzen in der Regel Syslog oder SNMP, um Protokolle an einen Sammelagenten weiterzuleiten.
2. Datennormalisierung: Protokolldaten werden in unterschiedlichen Formaten aus verschiedenen Quellen übermittelt. Durch die Normalisierung werden alle Daten in ein einheitliches Schema umgewandelt, sodass die Korrelations-Engine des SIEM Ereignisse aus unterschiedlichen Quellen einheitlich verarbeiten kann.
3. Anreicherung: Normalisierte Ereignisse werden mit Kontextinformationen angereichert: Benutzeridentität aus dem Verzeichnisdienst, Details zu den Ressourcen, IP-Geolokalisierung und Feeds mit Bedrohungsinformationen. Durch die Anreicherung wird ein Rohereignis in eine kontextbezogene Ansicht umgewandelt, die dem Analysten Aufschluss darüber gibt, wer beteiligt war, welches System betroffen war und ob die Aktivität bekannten Bedrohungsmustern entspricht.
4. Korrelation: Angereicherte, normalisierte Ereignisströme durchlaufen die Korrelations-Engine, wo Regeln und Verhaltensanalysen quellenübergreifende Muster identifizieren. Das ist der Nutzen der Integration: der Moment, in dem ein EDR-Alarm, ein Identitätsereignis und eine Firewall-Verbindung als Teil desselben Vorfalls erkannt werden, weil alle drei Datenströme vorhanden sind.

Arten von SIEM-Integrationen

Nicht alle Integrationen dienen demselben Zweck. Die folgenden Kategorien decken die Bandbreite der Datenquellen ab, die die meisten Unternehmen integrieren müssen, um einen vollständigen Überblick zu erhalten.

Endpunkt-Telemetrie
EDR-Plattformen gehören zu den wertvollsten SIEM-Datenquellen, da viele Angriffe zuerst in der Endpunkt-Telemetrie sichtbar werden. Prozessausführung, Dateiänderungen, Registrierungsänderungen und Netzwerkverbindungen werden in das SIEM-System eingespeist, um eine plattformübergreifende Korrelation zu ermöglichen. Einen tieferen Einblick in das Zusammenspiel der beiden Systeme finden Sie in unserem Leitfaden „EDR vs. SIEM“.

Cloud-Aktivitätsprotokolle
AWS CloudTrail, Azure Monitor und die Audit-Protokolle von Google Cloud bieten eine lückenlose Aufzeichnung von API-Aufrufen, Konfigurationsänderungen und Zugriffsereignissen in Cloud-Umgebungen. In hybriden Umgebungen schließen diese Integrationen die Lücke in der Transparenz zwischen lokalen und Cloud-Umgebungen. Erfahren Sie mehr in unserem ausführlichen Artikel zum Thema Cloud-SIEM.

SaaS-Anwendungsereignisse
Microsoft 365, Google Workspace, Salesforce, Slack und ähnliche Plattformen generieren Authentifizierungsereignisse, Dateizugriffsprotokolle, Berechtigungsänderungen und Datenexportereignisse, die von lokalen Tools nicht erfasst werden können. Durch SaaS-Integrationen wird die Anwendungsebene, auf der Angriffe unter Verwendung von Anmeldedaten und Datenexfiltration am häufigsten auftreten, in den Korrelationsbereich des SIEM einbezogen.

Identitäts- und Zugriffsereignisse
Active Directory, Entra ID, Okta und andere Identitätsanbieter sind wichtige SIEM-Datenquellen, da die Identität den Zugriff auf nahezu jedes andere System steuert. Anmeldevorgänge, die Erweiterung von Berechtigungen und Kontoänderungen ermöglichen es dem SIEM, kompromittierte Anmeldedaten sowie laterale Bewegungen unter Verwendung legitimer Anmeldedaten zu erkennen.

Netzwerkverkehrsdaten
Firewall-Protokolle, IDS-Warnmeldungen, DNS-Abfrageprotokolle und Netzwerkflussdaten verschaffen dem SIEM Einblick in die Verkehrsmuster in der gesamten Umgebung und sind daher besonders wertvoll für die Erkennung von Command-and-Control-Kommunikation und lateraler Bewegung zwischen Netzwerksegmenten.

E-Mail- und Phishing-Signale
Durch die Integration von E-Mail-Sicherheitsgateways und Mail-Flow-Protokollen kann das SIEM-System Phishing-basierte Bedrohungsindikatoren mit nachfolgenden Endpunkt- und Identitätsaktivitäten korrelieren und so den Klick auf eine bösartige E-Mail mit der darauf folgenden Anomalie bei der Authentifizierung in Verbindung bringen.

Threat-Intelligence-Feeds
Externe Threat-Intelligence-Feeds liefern Echtzeitdaten zu bekannten bösartigen IP-Adressen, Domains und Datei-Hashes. In Verbindung mit einem SIEM-System bereichert dieser Kontext die Warnmeldungen und ermöglicht es dem System, bekannte Bedrohungen zu erkennen, die durch Verhaltensregeln allein möglicherweise übersehen würden.

Tools für die Reaktion und den Workflow
SOAR-Plattformen sowie PSA- oder ITSM-Ticketing-Systeme sind dem SIEM nachgeschaltet. Durch die Integration des SIEM in SOAR werden bestätigte Bedrohungen direkt in automatisierte Playbooks weitergeleitet, während Ticketing-Integrationen dafür sorgen, dass Vorfälle ohne manuelle Dateneingabe nachverfolgt und dokumentiert werden.

Vorteile der SIEM-Integration

Die Argumente für eine umfassende SIEM-Integration sind im Wesentlichen dieselben wie die für das SIEM selbst. Man kann nur auf das reagieren, was man sieht.

Der größte Vorteil ist die umgebungsübergreifende Erkennung von Bedrohungen. Durch die vollständige Integration kann das SIEM-System Ereignisse über verschiedene Bereiche hinweg korrelieren, die zuvor keinen Einblick ineinander hatten. Ein Angreifer, der einen Endpunkt kompromittiert, über einen Identitätsanbieter Berechtigungen ausweitet und Daten über einen Cloud-Speicher abzieht, hinterlässt an drei Stellen Spuren. Die Integration verknüpft diese Spuren zu einer einzigen Vorfallchronik, und da die Analysten bereits mit vollständigem Kontext angereicherte Warnmeldungen erhalten, verkürzt sich die Untersuchungszeit erheblich im Vergleich zum manuellen Abgleich zwischen nicht miteinander verbundenen Tools.

Eine bessere Integration bedeutet auch eine bessere Korrelation, was wiederum zu weniger Fehlalarmen führt. Wenn SIEM einen Alarm anhand mehrerer Datenpunkte abgleichen kann, wird vor der Eskalation überprüft, ob für ein verdächtiges Ereignis bestätigende Beweise vorliegen. Dadurch wird das Alarmvolumen reduziert und gleichzeitig die Alarmqualität verbessert. Sicherheitsteams müssen nicht mehr zwischen verschiedenen Dashboards hin- und herwechseln, um sich ein Bild vom Geschehen zu machen, sondern arbeiten stattdessen über eine einzige Oberfläche, auf der bereits alles im Überblick dargestellt ist.

Die Abdeckung der Compliance-Anforderungen ergibt sich ganz natürlich aus einer vollständigen Integration. Die regulatorischen Rahmenbedingungen verlangen die Aufbewahrung von Protokollen und die Überwachung des Zugriffs über die gesamte IT-Umgebung eines Unternehmens hinweg. Ein SIEM, bei dem Integrationen für die betroffenen Systeme fehlen, erfüllt diese Anforderungen nicht – ganz gleich, wie gut es alle anderen Bereiche überwacht.

Herausforderungen bei der SIEM-Integration

Gerade im Bereich der Integration bleiben SIEM-Implementierungen am häufigsten hinter den Erwartungen zurück. Die beiden häufigsten Fehlerquellen sind Lücken in der Abdeckung und Inkonsistenzen bei der Normalisierung.

Abdeckungslücken entstehen, weil nicht für jede Datenquelle eine vorgefertigte native Integration vorhanden ist. Altsysteme, maßgeschneiderte Anwendungen und OT-Geräte erfordern unter Umständen maßgeschneiderte Konnektoren oder Konfigurationen zur Protokollweiterleitung, deren Einrichtung viel Zeit in Anspruch nimmt. Unternehmen entdecken diese Lücken oft erst im Zuge eines Vorfalls, wenn sich herausstellt, dass ein kompromittiertes System Protokolle generiert hat, die das SIEM nie erreicht haben.

Inkonsistenzen bei der Normalisierung sind subtiler, aber ebenso schädlich. Wenn ein Feld wie „Quell-IP“ in verschiedenen Protokollformaten uneinheitlich zugeordnet wird, liefern Korrelationsregeln, die darauf basieren, ungenaue Ergebnisse. Dies ist einer der wesentlichsten Unterschiede zwischen einem SIEM mit 30 gründlich gepflegten Konnektoren und einem mit 300 oberflächlich implementierten.

Zwei operative Herausforderungen verstärken sich im Laufe der Zeit:

• Datenvolumen und Leistung: Eine vollständige Integration erzeugt große Datenmengen. Eine umfassende Integration ohne strategische Filterung kann die Verarbeitungskapazität überlasten und die Speicherkosten in die Höhe treiben. Das Ziel besteht darin, nur die Protokolle zu erfassen, die für die Erkennung und die Einhaltung von Vorschriften relevant sind, und den Rest bereits im Vorfeld herauszufiltern.
• Integrationen auf dem neuesten Stand halten: Sicherheitstools aktualisieren ihre APIs und Cloud-Plattformen ändern ihre Protokollformate. Eine Integration, die vor sechs Monaten noch funktioniert hat, kann heute unbemerkt nicht mehr funktionieren. Bei einem verwalteten SIEM-Dienst obliegt diese Wartung dem Anbieter; bei einer selbst gehosteten Bereitstellung obliegt sie dem internen Team.

Bewährte Verfahren für die SIEM-Integration

Die folgenden Vorgehensweisen helfen Unternehmen dabei, eine Integrationsarchitektur aufzubauen, die vollständig und wartbar ist und die Erkennungsqualität im Laufe der Zeit verbessert.

Priorisieren Sie Datenquellen nach ihrem Erkennungswert, nicht nach der Einfachheit der Integration
Bei der Einführung eines SIEM-Systems besteht oft die Versuchung, zunächst das anzuschließen, was am einfachsten zu integrieren ist. Dies führt zu einem SIEM, das Einblick in die am wenigsten interessanten Teile der Umgebung bietet und die am stärksten gefährdeten Bereiche außer Acht lässt. Endpunkt-Telemetrie, Identitätsprotokolle und Aktivitäten auf Cloud-Plattformen sollten unabhängig von der Komplexität der Integration priorisiert werden, da dort die meisten Angriffe ihre Spuren hinterlassen.

Verwenden Sie native Konnektoren, sofern diese verfügbar sind
Vorgefertigte, vom Anbieter gewartete Konnektoren sind durchweg zuverlässiger als maßgeschneiderte Integrationen. Sie bewältigen Änderungen am Protokollformat, API-Updates und Normalisierungszuordnungen im Rahmen der laufenden Wartung durch den Anbieter, ohne dass diese Arbeit dem internen Team zufällt. Bei der Bewertung von SIEM-Anbietern sind die Tiefe und die Wartungsqualität ihrer Konnektorbibliothek wichtiger als die Gesamtzahl der Konnektoren.

Legen Sie vor der Feinabstimmung der Erkennungs
eine Basisabdeckung fest Korrelationsregeln und Verhaltensanalysen liefern nur dann aussagekräftige Ergebnisse, wenn die von ihnen analysierten Daten vollständig sind. Bevor Sie umfangreiche Investitionen in die Feinabstimmung von Regeln tätigen, sollten Sie sicherstellen, dass alle wichtigen Datenquellen angebunden sind, der Datenfluss wie erwartet erfolgt und die Normalisierung konsistent ist. Eine Erkennungsregel, die auf der Grundlage unvollständiger Daten kalibriert wurde, liefert auch nach der Feinabstimmung ungenaue Ergebnisse.

Implementieren Sie die Webhook-Erfassung für nicht standardmäßige Quellen
Für Datenquellen, für die kein nativer SIEM-Konnektor verfügbar ist, stellt die Webhook-basierte Erfassung die praktischste Ausweichlösung dar. Anstatt eine benutzerdefinierte Polling-Integration zu entwickeln, konfigurieren Sie die Quelle so, dass Ereignisse bei ihrem Auftreten an einen vom SIEM bereitgestellten Webhook-Endpunkt gesendet werden. Dieser Ansatz lässt sich schneller umsetzen, unterstützt die Datenübermittlung in Echtzeit und erfordert keine Pflege einer benutzerdefinierten Integration, wenn sich die APIs der Quellen weiterentwickeln.

Überwachen Sie den Integrationsstatus kontinuierlich
Eine fehlerhafte Integration löst keine Warnmeldungen aus, was genauso aussieht wie eine Umgebung ohne Bedrohungen. Die aktive Überwachung, ob jede verbundene Quelle Daten termingerecht liefert, ob das Ereignisvolumen innerhalb der erwarteten Bereiche liegt und ob Normalisierungsfehler auftreten, ist für die Aufrechterhaltung der Integrität der SIEM-Abdeckung unerlässlich. Integrieren Sie Dashboards zum Integrationsstatus in Ihre operative Routine und beschränken Sie sich nicht nur auf Ihre Checkliste für die Ersteinrichtung.

So funktioniert die Integration bei Kaseya SIEM

Die Leistungsfähigkeit einer SIEM-Integration hängt entscheidend von der zugrunde liegenden Dateninfrastruktur ab. Ein SIEM mit umfassenden, gut gepflegten und tiefgreifend normalisierten Integrationen bietet eine bessere Erkennung als ein System mit mehr Funktionen, aber einer geringeren Abdeckung.

Kaseya SIEM erfasst Telemetriedaten über mehr als 60 native Konnektoren, die Endgeräte über Datto EDR, Ereignisse aus Cloud-Anwendungen über SaaS Alerts (einschließlich Microsoft 365, Google Workspace, Salesforce, Slack und anderer wichtiger SaaS-Plattformen), Netzwerk- und Firewall-Daten, Protokolle von Identitätsanbietern sowie E-Mail-Sicherheitsquellen. Für Umgebungen mit Datenquellen, die nicht in der nativen Konnektor-Bibliothek enthalten sind, unterstützt die Webhook-Erfassung jede Streaming-Quelle direkt und stellt so sicher, dass kein Teil der Umgebung unüberwacht bleibt, nur weil noch kein vorgefertigter Konnektor existiert. Die Integrationsarchitektur ist auf die tatsächlichen Arbeitsabläufe von MSPs und IT-Teams ausgelegt: Umgebungen, die sich über mehrere Kunden oder Geschäftsbereiche erstrecken, eine Mischung aus Cloud-nativer und Legacy-Infrastruktur sowie Sicherheitsstacks, die Tools verschiedener Anbieter kombinieren. Alle integrierten Telemetriedaten fließen in ein einziges, korreliertes Dashboard ein, in dem die SOC-Analysten von Kaseya rund um die Uhr überwachen, priorisieren und reagieren – mit automatisierten Reaktionsregeln, die bei Identifizierung einer bestätigten Bedrohung gleichzeitig über Cloud- und Endpunkt-Oberflächen hinweg greifen.