Sicherheitsteams versinken in Daten. Ein durchschnittliches Unternehmen generiert täglich Millionen von Protokollereignissen – über Endgeräte, Cloud-Plattformen, Anwendungen, Firewalls und Netzwerkgeräte hinweg. Die meisten dieser Ereignisse sind nur Rauschen. Eine Handvoll davon jedoch nicht. Die Herausforderung besteht darin, den Unterschied zu erkennen, bevor aus einer Bedrohung ein Sicherheitsvorfall wird.
Das Security Information and Event Management (SIEM) wurde entwickelt, um genau dieses Problem zu lösen. SIEM bündelt Sicherheitsdaten aus der gesamten IT-Umgebung an einem Ort, stellt Zusammenhänge zwischen Ereignissen her, die einzelne Tools niemals miteinander in Verbindung bringen würden, und zeigt nur die Warnmeldungen an, die wirklich von Bedeutung sind. Für Unternehmen mit komplexen Umgebungen und begrenzten Ressourcen im Sicherheitsbereich ist es zu einer grundlegenden Komponente der modernen Bedrohungserkennung geworden.
Das hauseigene SIEM-Tool von Kaseya verarbeitet täglich rund 500 Millionen Sicherheitsereignisse für MSPs und IT-Teams weltweit und vermittelt den Sicherheitsexperten des Unternehmens einen klaren Überblick darüber, wie die Erkennung von Bedrohungen in der Praxis in Umgebungen jeder Größe funktioniert.
Was ist SIEM?
SIEM, ausgesprochen „Sim“, steht für „Security Information and Event Management“ (Sicherheitsinformations- und Ereignismanagement). Es handelt sich um eine Kategorie von Cybersicherheitstechnologien, die Protokoll- und Ereignisdaten aus der gesamten IT-Infrastruktur eines Unternehmens sammelt, diese auf Anzeichen von Bedrohungen oder Anomalien analysiert und Warnmeldungen ausgibt, sobald verdächtige Aktivitäten erkannt werden.
Der Begriff wurde 2005 von Gartner-Analysten geprägt, als zwei getrennte Kategorien von Sicherheitstools nebeneinander existierten: Security Information Management (SIM), das sich auf die langfristige Protokollsammlung und Compliance-Berichterstattung konzentrierte, und Security Event Management (SEM), das für die Echtzeitüberwachung und Alarmierung zuständig war. SIEM vereinte diese Funktionen auf einer einzigen Plattform.
Sicherheitsinformationsmanagement (SIM)
Das Sicherheitsinformationsmanagement umfasst die Erfassung, Speicherung und Analyse von Protokolldaten über einen längeren Zeitraum hinweg. Man kann es sich als eine Art historisches Protokoll vorstellen – den Prüfpfad, den Compliance-Rahmenwerke vorschreiben und auf den sich forensische Untersuchungen stützen. SIM ermöglicht es Unternehmen, Protokolldaten über Monate oder Jahre hinweg aufzubewahren, Berichte für Aufsichtsbehörden zu erstellen und genau nachzuvollziehen, was während eines Vorfalls geschehen ist.
Sicherheitsereignismanagement (SEM)
Das Sicherheitsereignismanagement ist die Echtzeit-Ebene. Es überwacht Ereignisse in Echtzeit, stellt Zusammenhänge zwischen Aktivitäten aus verschiedenen Quellen her und löst Warnmeldungen aus, wenn etwas nicht in Ordnung zu sein scheint. Während SIM fragt: „Was ist letzten Monat passiert?“, fragt SEM: „Was passiert gerade?“
Moderne SIEM-Lösungen leisten beides. Sie erfassen kontinuierlich Daten, erstellen ein Referenzprofil für normale Aktivitäten in einer Umgebung und kennzeichnen Abweichungen von diesem Referenzprofil – sei es ein Anmeldeversuch um 3 Uhr morgens von einem ungewöhnlichen Standort aus, ein sprunghafter Anstieg des ausgehenden Datenverkehrs von einem Server oder eine Abfolge fehlgeschlagener Authentifizierungsversuche, auf die eine erfolgreiche folgt.
Wie funktioniert SIEM?
Ein SIEM sammelt nicht nur Daten. Es leitet diese Daten durch eine strukturierte Pipeline, die aus der Masse an Rohprotokollen verwertbare Sicherheitsinformationen macht. Im Großen und Ganzen umfasst diese Pipeline fünf Schritte:
- Datenerfassung und Protokollaufnahme: Das SIEM-System setzt Agenten ein oder nutzt agentenlose Konnektoren, um Protokolldaten aus allen Quellen der Umgebung abzurufen. Dazu gehören Endgeräte, Server, Firewalls, Intrusion-Detection-Systeme, Cloud-Plattformen, SaaS-Anwendungen und Netzwerkgeräte. Der Umfang der Datenerfassung bestimmt, wie vollständig das Bild der Umgebung ist, das das SIEM-System tatsächlich liefert.
- Normalisierung und Analyse: Rohprotokolldaten aus verschiedenen Systemen liegen in unterschiedlichen Formaten vor. Ein Firewall-Protokoll sieht ganz anders aus als ein Windows-Ereignisprotokoll oder ein AWS CloudTrail-Eintrag. Das SIEM normalisiert diese Daten und wandelt sie in eine einheitliche Struktur um, sodass Ereignisse aus verschiedenen Quellen verglichen und miteinander in Zusammenhang gebracht werden können.
- Korrelation und Analyse: Hier findet die eigentliche Arbeit statt. Das SIEM wendet Korrelationsregeln an – also Logik, die nach Mustern sucht, die sich über mehrere Ereignisse erstrecken, die für sich genommen vielleicht nicht verdächtig erscheinen. Ein einzelner fehlgeschlagener Anmeldeversuch ist nicht weiter bemerkenswert. Zehn fehlgeschlagene Anmeldeversuche von derselben IP-Adresse über mehrere Konten hinweg innerhalb von zwei Minuten sind jedoch eine ganz andere Sache. Moderne SIEM-Plattformen nutzen zudem maschinelles Lernen, um Anomalien zu erkennen, die keiner vordefinierten Regel entsprechen.
- Alarmierung: Wenn die Korrelations-Engine eine potenzielle Bedrohung erkennt, generiert das SIEM-System einen Alarm und leitet diesen an das Sicherheitsteam weiter. Gut konfigurierte SIEM-Systeme ordnen Alarme nach Schweregrad ein, was den Teams hilft, Prioritäten für die Untersuchung zu setzen und Zeitverschwendung durch irrelevante Meldungen mit geringem Risiko zu vermeiden.
- Protokollspeicherung und forensische Untersuchung: Das SIEM-System speichert die erfassten Protokolldaten je nach Compliance-Anforderungen über Monate oder Jahre hinweg. Diese historischen Aufzeichnungen ermöglichen die forensische Untersuchung. Wird eine Sicherheitsverletzung erst Wochen nach ihrem Auftreten entdeckt, können Analysten anhand der Protokolle den Weg des Angreifers durch die Umgebung nachverfolgen, feststellen, auf welche Ressourcen zugegriffen wurde, und ermitteln, wann die erste Kompromittierung stattfand.
Wichtigste Funktionen und Leistungsmerkmale eines SIEM
Nicht alle SIEM-Tools sind gleich aufgebaut, doch die folgenden Funktionen zeigen, was eine Lösung der aktuellen Generation leisten sollte. Das Verständnis dieser Funktionen hilft bei der Beurteilung, ob eine bestimmte Plattform zweckmäßig ist oder lediglich ein Protokollaggregator mit einem angehängten Dashboard.
zur Erkennung von Bedrohungen in EchtzeitDie Kernfunktion eines SIEM besteht in der kontinuierlichen Überwachung von Sicherheitsereignissen in der gesamten Umgebung, wobei bei der Erkennung verdächtiger Muster Warnmeldungen ausgegeben werden. Dies sollte rund um die Uhr erfolgen, ohne dass manuelle Eingriffe erforderlich sind, um auf dem neuesten Stand zu bleiben.
Protokollverwaltung und Aufbewahrungs
Eine SIEM-Lösung zentralisiert die Protokollspeicherung für alle Systeme und Geräte und sorgt für Aufbewahrungsfristen, die den Compliance-Anforderungen des Unternehmens entsprechen. Viele Rahmenwerke schreiben eine Aufbewahrungsfrist von 12 Monaten oder länger vor.
Ereigniskorrelations-
Die Fähigkeit, Ereignisse aus verschiedenen Systemen und Quellen in einer einzigen Vorfallansicht miteinander zu verknüpfen. Ein SIEM, das lediglich einzelne Warnmeldungen anzeigt, ohne diese miteinander in Verbindung zu bringen, ist deutlich weniger nützlich als eines, das erkennen lässt: „Diese Warnmeldung, dieses Anmeldeereignis und diese Netzwerkverbindung sind allesamt Teil derselben Aktivität.“
für die Analyse des Benutzer- und Entitätsverhaltens (UEBA)UEBA erstellt ein Referenzprofil für das normale Verhalten von Benutzern, Geräten und Anwendungen und kennzeichnet Abweichungen davon. Dies ist besonders wertvoll für die Erkennung von Insider-Bedrohungen und kompromittierten Konten, bei denen der Angreifer legitime Anmeldedaten verwendet und somit keine herkömmliche signaturbasierte Erkennung auslöst.
Compliance-Berichts
Automatisierte Erstellung von Berichten für regulatorische Rahmenbedingungen wie DSGVO, HIPAA, PCI-DSS und andere. Dies entlastet die Compliance-Prozesse erheblich von manuellen Arbeitsschritten und liefert die prüfungsreife Dokumentation, die die Aufsichtsbehörden erwarten.
Integration von Incident-Response-Funktionen
Die Möglichkeit, SIEM-Warnmeldungen mit Response-Workflows zu verknüpfen, sei es über integrierte Playbooks, die Anbindung an SOAR-Plattformen oder die direkte Ticketerstellung in einem PSA- oder ITSM-System. Je schneller Warnmeldungen von der Erkennung zur Reaktion führen, desto weniger Schaden kann eine Bedrohung anrichten.
zur BedrohungssucheÜber die reaktive Alarmierung hinaus unterstützen ausgereifte SIEM-Tools die proaktive Bedrohungssuche, d. h. die Möglichkeit, historische Daten abzufragen, um nach Anzeichen für eine Kompromittierung zu suchen, die automatisierte Regeln möglicherweise übersehen haben. Dies ist besonders wertvoll, wenn neue Bedrohungsinformationen auftauchen und Teams feststellen müssen, ob ihre Umgebung bereits betroffen war, bevor die Bedrohung offiziell identifiziert wurde.
Feeds mit Bedrohungsinformationenfür das „
“ – Integration mit externen Quellen für Bedrohungsinformationen, die aktuelle Daten zu bekannten bösartigen IP-Adressen, Domains, Datei-Hashes und Angriffstechniken liefern. Dadurch erhält das SIEM den notwendigen Kontext, um bekannte Bedrohungen zu erkennen und nicht nur Verhaltensabweichungen.
Anwendungsfälle für SIEM
Zu verstehen, wie SIEM funktioniert, ist eine Sache. Zu sehen, wie es sich in der Praxis bewährt, ist jedoch noch nützlicher. Die folgenden Szenarien veranschaulichen die gängigsten Methoden, mit denen Unternehmen SIEM im täglichen Betrieb zum Schutz ihrer Infrastruktur einsetzen.
Erkennung kompromittierter Anmeldedaten
Eines der häufigsten Angriffsmuster ist der Diebstahl von Anmeldedaten. Der Benutzername und das Passwort eines Benutzers werden durch Phishing oder eine Datenpanne erlangt, und der Angreifer meldet sich mit den legitimen Anmeldedaten an. SIEM erkennt dies, indem es die Anmeldeaktivitäten mit Verhaltensreferenzwerten abgleicht. Wenn sich ein Benutzerkonto innerhalb einer Stunde plötzlich von zwei verschiedenen Standorten aus authentifiziert oder außerhalb der normalen Arbeitszeiten auf Systeme zugreift, löst dies eine Warnmeldung aus, auch wenn keine explizite Angriffssignatur ausgelöst wurde. Laut dem IBM-Bericht „Cost of a Data Breach Report 2024“ waren gestohlene oder kompromittierte Anmeldedaten der häufigste erste Angriffsvektor. Sie machten 16 % aller Sicherheitsverletzungen aus, und es dauerte durchschnittlich 292 Tage, bis sie identifiziert und eingedämmt wurden.
Erkennung von Ransomware, bevor die Verschlüsselung beginnt
Ransomware-Angriffe beginnen nicht mit der Verschlüsselung. Sie beginnen mit Aufklärung, lateraler Bewegung und der Ausweitung von Berechtigungen. SIEM-Systeme können Verhaltensweisen in einem frühen Stadium erkennen, die einem Verschlüsselungsvorfall vorausgehen: ungewöhnliche Dateizugriffsmuster, die Erstellung neuer Prozesse mit erweiterten Berechtigungen oder Command-and-Control-Kommunikation mit bekannter bösartiger Infrastruktur. Die Erkennung der Bedrohung in diesem Stadium – und nicht erst, nachdem die Verschlüsselung bereits begonnen hat – macht den Unterschied zwischen einem eindämmbaren Vorfall und einer groß angelegten Wiederherstellungsmaßnahme aus.
Überwachung der Einhaltung von Vorschriften und Unterstützung bei Audits
MSPs, die Kunden aus dem Gesundheitswesen oder dem Finanzdienstleistungssektor betreuen, müssen häufig nachweisen, dass der Zugriff auf sensible Systeme überwacht und protokolliert wird. SIEM-Lösungen automatisieren diesen Prozess, indem sie erfassen, wer wann und von wo aus auf welche Systeme zugegriffen hat, und erstellen die Berichte, die Prüfer und Aufsichtsbehörden benötigen. Für ein kleines IT-Team ohne eigens dafür zuständiges Compliance-Personal bedeutet dies eine erhebliche Zeitersparnis.
Erkennung interner Bedrohungen
Interne Bedrohungen sind schwerer zu erkennen, da dabei häufig legitime Zugriffsrechte genutzt werden. Ein verärgerter Mitarbeiter, der vor seinem Ausscheiden Kundendaten abzieht, löst weder einen Virenschutzalarm noch eine Firewall-Sperre aus. Ein SIEM-System mit UEBA erkennt jedoch, dass derselbe Benutzer, der normalerweise auf drei oder vier Systeme zugreift, nun Datenbanken im gesamten Netzwerk abfragt, oder dass zu ungewöhnlichen Zeiten große Datenmengen auf ein externes Gerät kopiert werden.
Überwachung der Cloud-Sicherheit
Mit der Verlagerung von Workloads auf AWS, Azure und Google Cloud verlagert sich auch die Angriffsfläche. Cloud-Umgebungen generieren ihre eigenen Telemetriedaten, darunter API-Aufrufe, Konfigurationsänderungen und Zugriffsereignisse, die von lokalen Sicherheitstools oft völlig übersehen werden. Ein cloudfähiges SIEM-System erfasst diese Daten zusammen mit lokalen Protokollen und verschafft Sicherheitsteams so einen Überblick über hybride Umgebungen – und nicht nur über einen Teil davon.
Vorteile von SIEM
Sicherheitsteams, die SIEM richtig einsetzen, erzielen echte Verbesserungen in Bezug auf Erkennungsgeschwindigkeit, Compliance-Effizienz und die Arbeitsbelastung der Analysten. So sehen diese Verbesserungen in der Praxis aus:
Zentrale Transparenz
Sicherheitsdaten aus Dutzenden oder Hunderten von Quellen werden an einem Ort gebündelt. Anstatt zwischen einem Firewall-Dashboard, einem Endpunkt-Tool und einer Cloud-Konsole hin- und herzuwechseln, um sich ein Bild vom Geschehen zu machen, erhalten Analysten eine einheitliche Übersicht.
Schnellere Erkennung und Reaktion
Weltweit dauert es in den meisten Unternehmen immer noch Monate, bis eine Datenpanne erkannt und eingedämmt wird. SIEM verkürzt diese Zeit, indem es Bedrohungen in Echtzeit aufdeckt, anstatt darauf zu warten, dass jemand bei der manuellen Protokollprüfung etwas Ungewöhnliches bemerkt. Der IBM-Bericht „Cost of a Data Breach Report 2024“ ergab, dass Unternehmen, die in ihren Erkennungsworkflows Sicherheits-KI und Automatisierung einsetzen, Datenpannen im Durchschnitt fast 100 Tage schneller identifizierten und eindämmten als Unternehmen ohne diese Technologien.
Weniger Alarmmüdigkeit
Entgegen der allgemeinen Annahme reduziert ein gut abgestimmtes SIEM-System tatsächlich die Informationsflut, mit der Sicherheitsteams konfrontiert sind. Durch die Korrelation von Ereignissen und das Herausfiltern von Fehlalarmen wird die Anzahl der Alarme, die menschliche Aufmerksamkeit erfordern, reduziert, sodass die Alarme, die tatsächlich durchkommen, besser umsetzbar sind.
zur Einhaltung gesetzlicher VorschriftenRegulatorische Rahmenbedingungen, die die Aufbewahrung von Protokollen und die Überwachung des Zugriffs vorschreiben, lassen sich deutlich einfacher verwalten, wenn das SIEM-System beides automatisch übernimmt. Die Vorbereitung auf Audits, die früher Wochen in Anspruch nahm, lässt sich auf die Erstellung eines Berichts reduzieren.
en zur forensischen Untersuchung: Wenn doch einmal etwas schiefgeht, ermöglichen die im SIEM gespeicherten historischen Protokolldaten eine gründliche Untersuchung. Ohne diese Daten können Unternehmen oft nicht feststellen, wie weit sich ein Sicherheitsverstoß erstreckte, auf welche Daten zugegriffen wurde oder wann der erste Angriff stattfand.
Herausforderungen beim Betrieb eines SIEM
SIEM gehört zu den anspruchsvollsten Tools im Sicherheits-Stack, was den effektiven Betrieb angeht, und man sollte sich dessen bewusst sein, bevor man sich für einen Implementierungsansatz entscheidet. Jede der folgenden Herausforderungen ist real, aber für jede gibt es einen praktischen Lösungsweg.
Die Feinabstimmung erfordert Zeit
Voreingestellte Korrelationsregeln führen zu vielen Fehlalarmen. Um ein SIEM so einzurichten, dass es aussagekräftige Warnmeldungen ausgibt, ohne die Analysten mit irrelevanten Informationen zu überfluten, ist ein erheblicher Konfigurationsaufwand erforderlich, und diese Feinabstimmung ist ein fortlaufender Prozess, keine einmalige Einrichtungsaufgabe.
Ressourcenintensives Management-
Traditionelle SIEM-Implementierungen erfordern in der Regel 1,5 oder mehr Vollzeitmitarbeiter für die Verwaltung und Wartung. Für kleinere IT-Teams und MSPs ist dieser Personalbedarf oft unrealistisch, was mit ein Grund dafür ist, dass Managed SIEM Services erheblich an Bedeutung gewonnen haben.
Komplexität der Integration
Ein SIEM ist nur so nützlich wie die Daten, die es erhält. Die Beschaffung sauberer, vollständiger Protokolldaten aus allen Quellen der Umgebung – insbesondere aus Altsystemen, OT-Umgebungen oder SaaS-Anwendungen von Drittanbietern – kann einen erheblichen Integrationsaufwand erfordern.
Kosten bei Skalierung
Viele SIEM-Preismodelle basieren auf dem Datenaufnahmemenge, was bei wachsenden Umgebungen kostspielig werden kann. Unternehmen müssen sorgfältig abwägen, welche Daten in das SIEM-System eingespeist werden müssen und welche bereits im Vorfeld herausgefiltert werden können.
Worauf Sie bei einer SIEM-Lösung achten sollten
Vor dem Hintergrund dieser Abwägungen sollten Sie bei der Bewertung von SIEM-Lösungen folgende Punkte berücksichtigen. Diese Kriterien gelten unabhängig davon, ob Sie intern einen Business Case erstellen, Anbieter vergleichen oder einem Kunden bei der Entscheidungsfindung helfen.
Bereitstellungsmodell
Vor Ort, cloud-nativ oder hybrid. Cloud-basierte SIEM-Lösungen machen Hardware-Kosten überflüssig und bieten elastische Skalierbarkeit, was sie zur praktischen Wahl für die meisten kleinen und mittelständischen Unternehmen macht. In stark regulierten oder isolierten Umgebungen können Bereitstellungen vor Ort weiterhin erforderlich sein.
Managed vs. selbst betriebeneSIEM-Lösungen (
) Der interne Betrieb eines SIEM erfordert qualifizierte Sicherheitsanalysten, die das System optimieren, auf Warnmeldungen reagieren und die Integrationen pflegen können. Ein Managed SIEM, bei dem ein Anbieter die Konfiguration, Optimierung und Überwachung rund um die Uhr übernimmt, entlastet Sie von diesen Aufgaben. Für MSPs, die Sicherheitsdienste für Kunden bereitstellen, eröffnet ein Managed SIEM zudem eine neue Einnahmequelle, ohne dass zusätzliches Personal erforderlich ist.
Umfang der Integration
Prüfen Sie, mit welchen Systemen das SIEM-System nativ integriert ist. Eine Lösung, die Ihre Endpunkt-Tools, Firewalls, Cloud-Plattformen und Identitätssysteme von Haus aus abdeckt, ist wesentlich einfacher zu bedienen als eine, die für jede Quelle eigene Konnektoren erfordert.
Qualität der Erkennung
Fragen Sie die Anbieter, wie ihre Korrelationslogik aktualisiert wird und wie oft die Feeds mit Bedrohungsinformationen aktualisiert werden. Ein SIEM mit veralteten Regeln oder veralteten Bedrohungsinformationen wird moderne Angriffstechniken übersehen.
Berichterstellung und Compliance-Abdeckung
Wenn Compliance für Sie eine wichtige Rolle spielt, sollten Sie sicherstellen, dass das SIEM-System vorgefertigte Berichtsvorlagen für die von Ihnen einzuhaltenden Rahmenwerke enthält, darunter DSGVO, HIPAA, PCI-DSS und SOC 2, damit Sie Berichte nicht von Grund auf neu erstellen müssen.
Kaseya SIEM erfüllt diese Anforderungen direkt und vereint Telemetriedaten von Endgeräten, Cloud-Anwendungen, Netzwerken, Identitätsmanagementsystemen und E-Mail-Systemen über mehr als 60 native Konnektoren. Die Lösung bietet eine Protokollspeicherung von 400 Tagen zur Einhaltung gesetzlicher Vorschriften, automatisierte Reaktionsmechanismen sowie eine integrierte SOC-Überwachung rund um die Uhr. Sie wurde für kleine Teams entwickelt, die eine Erkennung auf Unternehmensniveau benötigen, ohne über die entsprechende Personalausstattung zu verfügen.
SIEM und Compliance
Regulierungsrahmen empfehlen nicht nur die Protokollüberwachung. Viele schreiben sie sogar vor und legen dabei konkret fest, was protokolliert werden muss, wie lange die Protokolle aufzubewahren sind und wie schnell ein Sicherheitsvorfall gemeldet werden muss. SIEM erfüllt diese Anforderungen in den gängigsten Rahmenwerken auf folgende Weise:
- DSGVO: Verpflichtet Organisationen dazu, geeignete technische Maßnahmen zum Schutz personenbezogener Daten zu ergreifen sowie Datenschutzverletzungen innerhalb von 72 Stunden zu erkennen und zu melden. SIEM unterstützt dies durch kontinuierliche Überwachung, Warnmeldungen bei Datenschutzverletzungen und die erforderlichen Prüfpfade, um den Aufsichtsbehörden die Einhaltung der Vorschriften nachzuweisen.
- HIPAA: Verpflichtet betroffene Einrichtungen und Geschäftspartner dazu, Kontrollmechanismen einzurichten, die den Zugriff auf elektronische geschützte Gesundheitsdaten (ePHI) protokollieren und überprüfen. SIEM bietet die Protokollierung und Zugriffsüberwachung, die diese Anforderung erfüllt, und erstellt die für HIPAA-Audits erforderlichen Berichte.
- PCI-DSS: Verpflichtet Unternehmen, die mit Karteninhaberdaten umgehen, dazu, Systeme zur Erkennung von Eindringlingen zu implementieren, den gesamten Zugriff auf Netzwerkressourcen und Karteninhaberdaten zu überwachen und die Protokolle täglich zu überprüfen. SIEM automatisiert alle drei Aufgaben.
- SOC 2: Verlangt von Dienstleistungsunternehmen den Nachweis von Kontrollmaßnahmen zur Sicherheitsüberwachung. Die Funktionen von SIEM zur kontinuierlichen Überwachung und Protokollaufbewahrung unterstützen direkt die „Trust Service Criteria“, die im Rahmen von SOC-2-Prüfungen bewertet werden.
- NIST 800-53: Das NIST-Rahmenwerk, das in den US-Bundesbehörden weit verbreitet ist und auf das sich viele Compliance-Programme im privaten Sektor beziehen, umfasst explizite Prüf- und Rechenschaftskontrollen (die AU-Kontrollfamilie), die festlegen, welche Ereignisse erfasst werden müssen, wie Protokollinhalte strukturiert sein müssen, wie lange Daten aufbewahrt werden müssen und wie Fehler zu behandeln sind. SIEM ist der Standardmechanismus, um diese Kontrollen in großem Maßstab zu erfüllen.
Für Unternehmen, die gleichzeitig mehreren Regelwerken unterliegen, lassen sich durch die zentralisierte Protokollierung und automatisierte Berichterstellung von SIEM-Lösungen die Kosten für die Einhaltung von Vorschriften oft erheblich senken, verglichen mit einer separaten Verwaltung der Anforderungen jedes einzelnen Regelwerks.
Wie sich SIEM in Ihre übergreifende Sicherheitsinfrastruktur einfügt
SIEM arbeitet nicht isoliert und ersetzt auch nicht die anderen Tools in Ihrem Sicherheits-Stack. Wenn man versteht, wo es im Verhältnis zu anderen Technologien steht, wird klarer, was es leistet und wo seine Grenzen liegen.
SIEM ist die Aggregations- und Korrelationsschicht. Es sammelt Daten aus anderen Tools, darunter Endpoint Detection and Response (EDR), Firewalls, Identitätsplattformen und Cloud-Sicherheitstools, und erstellt ein umgebungsübergreifendes Gesamtbild, das einzelne Tools allein nicht liefern können. EDR erfasst, was auf einem Endgerät geschieht. SIEM verknüpft dieses Endgeräteereignis mit einer gleichzeitig stattfindenden verdächtigen Anmeldung und einer ungewöhnlichen ausgehenden Verbindung und stellt sie als einen einzigen Vorfall dar.
SOAR-Plattformen erweitern SIEM, indem sie die Reaktion auf Warnmeldungen automatisieren und Playbooks ausführen, die ein Gerät unter Quarantäne stellen, eine IP-Adresse blockieren oder ein Ticket erstellen können, ohne dass ein Analyst eingreifen muss. Viele moderne SIEM-Tools beginnen damit, SOAR-ähnliche Automatisierungsfunktionen nativ zu integrieren, doch in Unternehmen mit komplexen Reaktionsabläufen bleiben die beiden Bereiche weiterhin getrennt.
XDR verfolgt einen anderen Ansatz und konzentriert sich auf die Erkennung und Reaktion auf der Grundlage eines einheitlichen Satzes von Telemetriequellen, anstatt auf die Protokollaggregation und Compliance. Die beiden Kategorien nähern sich zunehmend an, wobei Plattformen Elemente beider Bereiche integrieren; dennoch erfüllen sie je nach den primären Sicherheitszielen des Unternehmens weiterhin unterschiedliche Funktionen.
Für Teams, die nicht über die Kapazitäten verfügen, ein vollwertiges SIEM-System intern zu betreiben, bietet ein Managed SOC das erforderliche Fachwissen und eine Rund-um-die-Uhr-Betreuung, wodurch die Erkennung von Bedrohungen praktikabel wird, ohne dass eigens dafür internes Sicherheitspersonal benötigt wird.
Wenn Sie genauer erfahren möchten, wie sich SIEM von ähnlichen Tools unterscheidet und wann welche Lösung zum Einsatz kommen sollte, lesen Sie unsere einzelnen Leitfäden, die unten verlinkt sind:
Verbessern Sie die Korrelation von Sicherheitsdaten mit Kaseya SIEM
SIEM ist zu einem zentralen Bestandteil der Art und Weise geworden, wie Unternehmen Bedrohungen erkennen und darauf reagieren – nicht, weil es einfach zu bedienen ist, sondern weil die Alternative, nämlich das Zusammensetzen von Sicherheitsereignissen aus Dutzenden von nicht miteinander verbundenen Tools, nicht skalierbar ist.
Für Teams, die derzeit SIEM-Lösungen evaluieren: Kaseya SIEM wurde speziell für die Umgebungen entwickelt, in denen die meisten MSPs und IT-Teams arbeiten – mit begrenzter Personalausstattung, einer großen Angriffsfläche und hohen Anforderungen an die Compliance. Die Lösung bündelt Telemetriedaten aus über 60 Datenquellen, speichert Protokolle 400 Tage lang und bietet eine korrelierte Bedrohungserkennung mit SOC-Support rund um die Uhr – und das ohne die Komplexität und die Kosten, die Unternehmens-SIEMs für kleinere Teams bisher unerschwinglich gemacht haben.
