Was ist SIEM? Funktionsweise, wichtigste Vorteile und Anwendungsfälle

Sicherheitsteams versinken in einer Flut von Daten. Ein durchschnittliches Unternehmen generiert täglich Millionen von Protokollereignissen – über Endgeräte, Cloud-Plattformen, Anwendungen, Firewalls und Netzwerkgeräte hinweg. Die meisten dieser Ereignisse sind nur „Rauschen“. Eine Handvoll davon ist es jedoch nicht. Die Herausforderung besteht darin, den Unterschied zu erkennen, bevor aus einer Bedrohung ein Sicherheitsvorfall wird.

Das Sicherheitsinformations- und Ereignismanagement (SIEM) wurde entwickelt, um genau dieses Problem zu lösen. SIEM bündelt Sicherheitsdaten aus der gesamten IT-Umgebung an einem Ort, stellt Zusammenhänge zwischen Ereignissen her, die einzelne Tools niemals miteinander in Verbindung bringen würden, und zeigt nur die Warnmeldungen an, die tatsächlich von Bedeutung sind. Für Unternehmen, die komplexe Umgebungen mit begrenzten Ressourcen im Sicherheitsbereich betreiben, ist es zu einer grundlegenden Komponente der modernen Bedrohungserkennung geworden.

Das hauseigene SIEM-Tool von Kaseya verarbeitet täglich rund 500 Millionen Sicherheitsereignisse für MSPs und IT-Teams weltweit und vermittelt den Sicherheitsexperten des Unternehmens einen klaren Überblick darüber, wie die Erkennung von Bedrohungen in der Praxis in Umgebungen jeder Größe funktioniert.

Was ist SIEM?

SIEM, ausgesprochen „sim“, steht für „Security Information and Event Management“ (Sicherheitsinformations- und Ereignismanagement). Es handelt sich um eine Kategorie von Cybersicherheitstechnologien, die Protokoll- und Ereignisdaten aus der gesamten IT-Infrastruktur eines Unternehmens zusammenführt, diese auf Anzeichen von Bedrohungen oder Anomalien analysiert und Warnmeldungen ausgibt, sobald verdächtige Aktivitäten erkannt werden.

Der Begriff wurde 2005 von Gartner-Analysten geprägt, als zwei getrennte Kategorien von Sicherheitstools nebeneinander existierten: das Security Information Management (SIM), dessen Schwerpunkt auf der langfristigen Protokollerfassung und der Erstellung von Compliance-Berichten lag, und das Security Event Management (SEM), das sich mit der Echtzeitüberwachung und Alarmierung befasste. SIEM vereinte diese Funktionen auf einer einzigen Plattform.

Sicherheitsinformationsmanagement (SIM)

Das Sicherheitsinformationsmanagement umfasst die Erfassung, Speicherung und Analyse von Protokolldaten über einen längeren Zeitraum hinweg. Man kann es sich als eine Art historisches Protokoll vorstellen – den Prüfpfad, den Compliance-Rahmenwerke vorschreiben und auf den sich forensische Untersuchungen stützen. SIM ermöglicht es Unternehmen, Protokolldaten über Monate oder Jahre hinweg aufzubewahren, Berichte für Aufsichtsbehörden zu erstellen und genau nachzuvollziehen, was während eines Vorfalls geschehen ist.

Sicherheitsereignismanagement (SEM)

Das Sicherheitsereignismanagement (SEM) ist die Echtzeit-Ebene. Es überwacht Ereignisse in Echtzeit, stellt Zusammenhänge zwischen Aktivitäten aus verschiedenen Quellen her und löst Warnmeldungen aus, wenn etwas nicht in Ordnung zu sein scheint. Während SIM die Frage stellt: „Was ist letzten Monat passiert?“, fragt SEM: „Was passiert gerade?“

Moderne SIEM-Lösungen leisten beides. Sie erfassen kontinuierlich Daten, legen eine Basislinie für normale Aktivitäten in einer gesamten Umgebung fest und kennzeichnen Abweichungen von dieser Basislinie – sei es ein Anmeldeversuch um 3 Uhr morgens von einem ungewöhnlichen Standort aus, ein sprunghafter Anstieg des ausgehenden Datenverkehrs von einem Server oder eine Abfolge fehlgeschlagener Authentifizierungsversuche, auf die eine erfolgreiche folgt.

Wie funktioniert SIEM?

Ein SIEM sammelt nicht nur Daten. Es leitet diese Daten durch eine strukturierte Pipeline, die aus der Rohdatenmenge aus Protokollen verwertbare Sicherheitsinformationen macht. Im Großen und Ganzen umfasst diese Pipeline fünf Schritte:

1. Datenerfassung und Protokollaufnahme: Das SIEM-System setzt Agenten ein oder nutzt agentenlose Konnektoren, um Protokolldaten aus allen Quellen der Umgebung abzurufen. Dazu gehören Endgeräte, Server, Firewalls, Intrusion-Detection-Systeme, Cloud-Plattformen, SaaS-Anwendungen und Netzwerkgeräte. Der Umfang der Datenerfassung bestimmt, wie vollständig das Bild der Umgebung ist, das das SIEM-System tatsächlich liefert.
2. Normalisierung und Analyse: Rohprotokolldaten aus verschiedenen Systemen liegen in unterschiedlichen Formaten vor. Ein Firewall-Protokoll sieht ganz anders aus als ein Windows-Ereignisprotokoll oder ein AWS CloudTrail-Eintrag. Das SIEM normalisiert diese Daten und wandelt sie in eine einheitliche Struktur um, sodass Ereignisse aus verschiedenen Quellen verglichen und miteinander in Zusammenhang gebracht werden können.
3. Korrelation und Analyse: Hier findet die eigentliche Arbeit statt. Das SIEM wendet Korrelationsregeln an – also Logik, die nach Mustern über mehrere Ereignisse hinweg sucht, die für sich genommen vielleicht nicht verdächtig erscheinen. Ein einzelner fehlgeschlagener Anmeldeversuch ist nicht bemerkenswert. Zehn fehlgeschlagene Anmeldeversuche von derselben IP-Adresse über mehrere Konten hinweg innerhalb von zwei Minuten sind jedoch eine ganz andere Geschichte. Moderne SIEM-Plattformen nutzen zudem maschinelles Lernen, um Anomalien zu erkennen, die keiner vordefinierten Regel entsprechen.
4. Alarmierung: Wenn die Korrelations-Engine eine potenzielle Bedrohung erkennt, generiert das SIEM einen Alarm und leitet diesen an das Sicherheitsteam weiter. Richtig konfigurierte SIEM-Systeme kategorisieren Alarme nach Schweregrad, was den Teams hilft, Prioritäten für die Untersuchungen zu setzen und Zeitverschwendung durch irrelevante Meldungen mit geringem Risiko zu vermeiden.
5. Protokollspeicherung und forensische Untersuchung: Das SIEM speichert die erfassten Protokolldaten je nach Compliance-Anforderungen über Monate oder Jahre hinweg. Diese historischen Aufzeichnungen ermöglichen die forensische Untersuchung. Wird eine Sicherheitsverletzung erst Wochen nach ihrem Auftreten entdeckt, können Analysten anhand der Protokolle den Weg des Angreifers durch die Umgebung nachverfolgen, feststellen, auf welche Ressourcen zugegriffen wurde, und ermitteln, wann die erste Kompromittierung stattfand.

Wichtigste Merkmale und Funktionen eines SIEM

Nicht alle SIEM-Tools sind gleich aufgebaut, doch die folgenden Funktionen zeigen, was eine Lösung der aktuellen Generation leisten sollte. Das Verständnis dieser Funktionen hilft bei der Beurteilung, ob eine bestimmte Plattform für den jeweiligen Zweck geeignet ist oder lediglich ein Protokollaggregator mit einem angehängten Dashboard ist.

Echtzeit-Bedrohungserkennung: DieKernfunktion eines SIEM besteht in der kontinuierlichen Überwachung von Sicherheitsereignissen in der gesamten Umgebung, wobei bei der Erkennung verdächtiger Muster Warnmeldungen ausgegeben werden. Dieser Prozess sollte rund um die Uhr laufen, ohne dass manuelle Eingriffe erforderlich sind, um auf dem neuesten Stand zu bleiben.

Protokollverwaltung und -aufbewahrung: Ein SIEM-System zentralisiert die Protokollspeicherung über alle Systeme und Geräte hinweg, wobei die Aufbewahrungsfristen den Compliance-Anforderungen des Unternehmens entsprechen. Viele Rahmenwerke schreiben eine Aufbewahrungsfrist von 12 Monaten oder länger vor.

Ereigniskorrelation: Die Fähigkeit, Ereignisse aus verschiedenen Systemen und Quellen in einer einheitlichen Vorfallansicht miteinander zu verknüpfen. Ein SIEM, das lediglich einzelne Warnmeldungen anzeigt, ohne diese miteinander in Verbindung zu bringen, ist deutlich weniger nützlich als eines, das erkennen lässt: „Diese Warnmeldung, dieses Anmeldeereignis und diese Netzwerkverbindung sind allesamt Teil derselben Aktivität.“

**Analyse des Benutzer- und Entitätsverhaltens (UEBA)** UEBA erstellt ein Referenzprofil des normalen Verhaltens von Benutzern, Geräten und Anwendungen und kennzeichnet anschließend Abweichungen. Dies ist besonders wertvoll für die Erkennung von Insider-Bedrohungen und kompromittierten Konten, bei denen der Angreifer legitime Anmeldedaten verwendet und somit keine herkömmliche, signaturbasierte Erkennung auslöst.

Compliance-Berichterstattung:Automatisierte Erstellungvon Berichten für regulatorische Rahmenbedingungen wie „ DSGVO “, HIPAA, PCI-DSS und andere. Dadurch wird der manuelle Aufwand im Rahmen der Compliance-Zyklen erheblich reduziert und es wird die von den Aufsichtsbehörden erwartete, prüfungsfähige Dokumentation bereitgestellt.

Integration der Incident-Response: Die Möglichkeit, SIEM-Warnmeldungen mit Response-Workflows zu verknüpfen – sei es über integrierte Playbooks, die Anbindung an SOAR-Plattformen oder die direkte Ticketerstellung in einem PSA- oder ITSM-System. Je schneller nach der Erkennung von Warnmeldungen Maßnahmen ergriffen werden, desto geringer ist der Schaden, den eine Bedrohung anrichten kann.

Threat Hunting: Überreaktive Warnmeldungen hinausunterstützen ausgereifte SIEM-Tools das proaktive Threat Hunting, also die Möglichkeit, historische Daten nach Indikatoren für Kompromittierungen (Indicators of Compromise) zu durchsuchen, die automatisierte Regeln möglicherweise übersehen haben. Dies ist besonders wertvoll, wenn neue Bedrohungsinformationen bekannt werden und Teams feststellen müssen, ob ihre Umgebung bereits betroffen war, bevor die Bedrohung offiziell identifiziert wurde.

Threat-Intelligence-Feeds: Integrationmit externen Threat-Intelligence-Quellen, die aktuelle Informationen zu bekannten bösartigen IP-Adressen, Domains, Datei-Hashes und Angriffstechniken bereitstellen. Dadurch erhält das SIEM-System den notwendigen Kontext, um nicht nur Verhaltensabweichungen, sondern auch bekannte Bedrohungen zu erkennen.

Anwendungsfälle für SIEM

Zu verstehen, wie SIEM funktioniert, ist eine Sache. Zu sehen, wie es sich in der Praxis bewährt, ist jedoch noch nützlicher. Die folgenden Szenarien veranschaulichen die gängigsten Methoden, mit denen Unternehmen SIEM im Alltag zum Schutz ihrer Infrastruktur einsetzen.

Erkennung kompromittierter Anmeldedaten

Eines der häufigsten Angriffsmuster ist der Diebstahl von Anmeldedaten. Der Benutzername und das Passwort eines Benutzers werden durch Phishing oder eine Datenpanne erlangt, und der Angreifer meldet sich mit den legitimen Anmeldedaten an. SIEM erkennt dies, indem es die Anmeldeaktivitäten mit Verhaltensreferenzwerten abgleicht. Wenn sich ein Benutzerkonto innerhalb einer Stunde plötzlich aus zwei verschiedenen Regionen authentifiziert oder außerhalb der normalen Arbeitszeiten auf Systeme zugreift, löst dies eine Warnmeldung aus, auch wenn keine explizite Angriffssignatur ausgelöst wurde. Laut dem IBM-Bericht „Cost of a Data Breach Report 2024“ waren gestohlene oder kompromittierte Anmeldedaten der häufigste erste Angriffsvektor; sie machten 16 % aller Sicherheitsverletzungen aus, und es dauerte durchschnittlich 292 Tage, bis sie identifiziert und eingedämmt wurden.

Erkennung von Ransomware, bevor die Verschlüsselung beginnt

Ransomware-Angriffe beginnen nicht mit der Verschlüsselung. Sie beginnen mit Aufklärung, lateraler Bewegung und der Ausweitung von Berechtigungen. SIEM-Systeme können die Verhaltensmuster in der Frühphase erkennen, die einem Verschlüsselungsvorfall vorausgehen: ungewöhnliche Dateizugriffsmuster, die Erstellung neuer Prozesse mit erweiterten Berechtigungen oder Command-and-Control-Kommunikation mit bekannter bösartiger Infrastruktur. Die Erkennung der Bedrohung in dieser Phase – und nicht erst, nachdem die Verschlüsselung bereits begonnen hat – macht den Unterschied zwischen einem eindämmbaren Vorfall und einer groß angelegten Wiederherstellungsmaßnahme aus.

Überwachung der Einhaltung von Vorschriften und Unterstützung bei Audits

MSPs, die Kunden aus dem Gesundheitswesen oder dem Finanzdienstleistungssektor betreuen, müssen häufig nachweisen, dass der Zugriff auf sensible Systeme überwacht und protokolliert wird. SIEM automatisiert diesen Vorgang, indem es erfasst, wer wann und von wo aus auf welche Systeme zugegriffen hat, und die Berichte erstellt, die Prüfer und Aufsichtsbehörden benötigen. Für ein kleines IT-Team ohne eigens dafür zuständiges Compliance-Personal bedeutet dies eine erhebliche Zeitersparnis.

Erkennung interner Bedrohungen

Interne Bedrohungen sind schwerer zu erkennen, da dabei häufig legitime Zugriffsrechte genutzt werden. Ein verärgerter Mitarbeiter, der vor seinem Ausscheiden Kundendaten abzieht, löst weder einen Virenschutzalarm noch eine Firewall-Sperre aus. Ein SIEM-System mit UEBA erkennt hingegen, dass derselbe Benutzer, der normalerweise auf drei oder vier Systeme zugreift, nun Datenbanken im gesamten Netzwerk abfragt oder dass zu einer ungewöhnlichen Zeit große Datenmengen auf ein externes Gerät kopiert werden.

Überwachung der Cloud-Sicherheit

Mit der Verlagerung von Workloads auf AWS, Azure und Google Cloud verlagert sich auch die Angriffsfläche. Cloud-Umgebungen generieren ihre eigenen Telemetriedaten, darunter API-Aufrufe, Konfigurationsänderungen und Zugriffsereignisse, die von lokalen Sicherheitstools oft gänzlich übersehen werden. Ein cloudfähiges SIEM-System erfasst diese Daten zusammen mit den lokalen Protokollen und verschafft Sicherheitsteams so einen Überblick über hybride Umgebungen – und nicht nur über eine Hälfte davon.

Vorteile von SIEM

Sicherheitsteams, die SIEM richtig einsetzen, erzielen echte Verbesserungen hinsichtlich der Erkennungsgeschwindigkeit, der Effizienz bei der Einhaltung von Vorschriften und der Arbeitsbelastung der Analysten. So sehen diese Verbesserungen in der Praxis aus:

Zentrale Übersicht:Sicherheitsdaten aus Dutzenden oder Hunderten von Quellen werden an einem Ort gebündelt. Anstatt zwischen einem Firewall-Dashboard, einem Endpunkt-Tool und einer Cloud-Konsole hin- und herzuwechseln, um sich ein Bild davon zu machen, was passiert ist, erhalten Analysten eine einheitliche Übersicht.

Schnellere Erkennung und Reaktion:Weltweit dauert es bei den meisten Unternehmen nach wie vor durchschnittlich mehrere Monate, bis eine Datenpanne erkannt und eingedämmt wird. SIEM verkürzt diese Zeit, indem Bedrohungen in Echtzeit aufgedeckt werden, anstatt darauf zu warten, dass jemand bei einer manuellen Protokollüberprüfung etwas Ungewöhnliches bemerkt. Der „IBM Cost of a Data Breach Report 2024“ ergab, dass Unternehmen, die Sicherheits-KI und Automatisierung in ihren Erkennungsworkflows einsetzen, Datenpannen im Durchschnitt fast 100 Tage schneller identifizierten und eindämmten als Unternehmen ohne diese Technologien.

Weniger Alarmmüdigkeit: Entgegen der allgemeinen Annahmereduziert ein gut abgestimmtes SIEM-System tatsächlich die Informationsflut, mit der Sicherheitsteams konfrontiert sind. Durch die Korrelation von Ereignissen und das Herausfiltern von Fehlalarmen wird die Anzahl der Alarme, die menschliche Aufmerksamkeit erfordern, verringert, sodass die Alarme, die tatsächlich durchkommen, besser umsetzbar sind.

Compliance-Abdeckung: RegulatorischeRahmenbedingungen, die die Aufbewahrung von Protokollen und die Überwachung des Zugriffs vorschreiben, lassen sich deutlich einfacher verwalten, wenn das SIEM-System beides automatisch übernimmt. Die Vorbereitung auf Audits, die zuvor Wochen in Anspruch nahm, lässt sich auf die Erstellung eines Berichts reduzieren.

Forensische Möglichkeiten: Wenndoch einmal etwas schiefgeht, ermöglichen die im SIEM gespeicherten historischen Protokolldaten eine gründliche Untersuchung. Ohne diese Daten können Unternehmen oft nicht feststellen, wie weit sich ein Sicherheitsvorfall ausgebreitet hat, auf welche Daten zugegriffen wurde oder wann die erste Kompromittierung stattfand.

Herausforderungen beim Betrieb eines SIEM

SIEM gehört zu den anspruchsvollsten Tools im Sicherheitsstack, was den effektiven Betrieb angeht, und man sollte sich dessen bewusst sein, bevor man sich für einen Implementierungsansatz entscheidet. Jede der unten aufgeführten Herausforderungen ist real, aber für jede gibt es einen praktischen Weg, sie zu meistern.

Die Feinabstimmung erfordert Zeit. VoreingestellteKorrelationsregeln führen zu vielen Fehlalarmen. Um ein SIEM so einzurichten, dass es aussagekräftige Warnmeldungen ausgibt, ohne die Analysten mit irrelevanten Informationen zu überfluten, ist ein erheblicher Konfigurationsaufwand erforderlich, und diese Feinabstimmung ist ein fortlaufender Prozess und keine einmalige Einrichtungsaufgabe.

Ressourcenintensives Management:Herkömmliche SIEM-Implementierungen erfordern in der Regel 1,5 oder mehr fest zugewiesene Mitarbeiter für die Verwaltung und Wartung. Für kleinere IT-Teams und MSPs ist dieser Personalbedarf oft unrealistisch, was mit ein Grund dafür ist, dass Managed-SIEM-Services erheblich an Bedeutung gewonnen haben.

Komplexität der Integration:Ein SIEM ist nur so nützlich wie die Daten, die es erhält. Um saubere, vollständige Protokolldaten aus allen Quellen der Umgebung zu erhalten – insbesondere aus Altsystemen, OT-Umgebungen oder SaaS-Anwendungen von Drittanbietern –, kann ein erheblicher Integrationsaufwand erforderlich sein.

Kosten bei großem Umfang: VieleSIEM-Preismodelle basieren auf dem Datenerfassungsvolumen, was bei wachsenden Umgebungen kostspielig werden kann. Unternehmen müssen sorgfältig abwägen, welche Daten in das SIEM-System einfließen müssen und welche bereits im Vorfeld herausgefiltert werden können.

Worauf Sie bei einer SIEM-Lösung achten sollten

Vor dem Hintergrund dieser Abwägungen sollten Sie bei der Bewertung von SIEM-Lösungen folgende Aspekte berücksichtigen. Diese Kriterien gelten unabhängig davon, ob Sie intern einen Business Case erstellen, Anbieter vergleichen oder einem Kunden bei der Entscheidungsfindung helfen.

Bereitstellungsmodell: Vor Ort, cloud-nativ oder hybrid. Cloud-basierte SIEM-Lösungen entfallen die Hardware-Kosten und bieten elastische Skalierbarkeit, was sie zur praktischen Wahl für die meisten kleinen und mittelständischen Unternehmen macht. In stark regulierten oder Air-Gapped-Umgebungen können Bereitstellungen vor Ort weiterhin erforderlich sein.

Managed vs. eigenbetrieben: Derinterne Betriebeines SIEM erfordert qualifizierte Sicherheitsanalysten, die das System optimieren, auf Warnmeldungen reagieren und die Integrationen pflegen können. Ein Managed SIEM, bei dem ein Anbieter die Konfiguration, die Optimierung und die Überwachung rund um die Uhr übernimmt, entlastet Sie von diesen Aufgaben. Für MSPs, die Sicherheitsdienste für Kunden bereitstellen, eröffnet ein Managed SIEM zudem eine neue Einnahmequelle, ohne dass zusätzliches Personal erforderlich ist.

Umfang der Integration: Prüfen Sie, mit welchen Systemen das SIEM-System von Haus aus integriert ist. Eine Lösung, die Ihre Endpunkt-Tools, Firewalls, Cloud-Plattformen und Identitätssysteme von Anfang an abdeckt, ist weitaus einfacher zu bedienen als eine, die für jede Quelle eigene Konnektoren erfordert.

Erkennungsqualität: Fragen Siedie Anbieter, wie ihre Korrelationslogik aktualisiert wird und wie oft die Threat-Intelligence-Feeds aktualisiert werden. Ein SIEM mit veralteten Regeln oder veralteten Bedrohungsinformationen wird moderne Angriffstechniken nicht erkennen.

Berichterstellung und Compliance-Abdeckung:Wenn Compliance eine wichtige Rolle spielt, sollten Sie sicherstellen, dass das SIEM-System vorgefertigte Berichtsvorlagen für die von Ihnen einzuhaltenden Rahmenwerke enthält – darunter „ DSGVO “, HIPAA, PCI-DSS und SOC 2 –, damit Sie Berichte nicht von Grund auf neu erstellen müssen.

Kaseya SIEM erfüllt diese Kriterien direkt und vereint Telemetriedaten von Endgeräten, Cloud-Anwendungen, Netzwerken, Identitätsdaten und E-Mails über mehr als 60 native Konnektoren – mit einer Protokollaufbewahrungsdauer von 400 Tagen zur Einhaltung gesetzlicher Vorschriften, automatisierten Reaktionsmechanismen und einer integrierten SOC-Überwachung rund um die Uhr. Die Lösung wurde für kleine Teams entwickelt, die eine Erkennung auf Unternehmensniveau benötigen, ohne über die dafür erforderliche Personalausstattung zu verfügen.

SIEM und Compliance

Regulierungsrahmenwerke empfehlen nicht nur die Protokollüberwachung. Viele schreiben sie sogar vor und legen dabei konkrete Verpflichtungen fest, was protokolliert werden muss, wie lange die Protokolle aufbewahrt werden müssen und wie schnell ein Sicherheitsvorfall gemeldet werden muss. SIEM erfüllt diese Anforderungen in den gängigsten Rahmenwerken auf folgende Weise:

• DSGVO: Verpflichtet Unternehmen dazu, geeignete technische Maßnahmen zum Schutz personenbezogener Daten zu ergreifen sowie Datenschutzverletzungen innerhalb von 72 Stunden zu erkennen und zu melden. SIEM unterstützt dies durch kontinuierliche Überwachung, Warnmeldungen bei erkannten Datenschutzverletzungen und die erforderlichen Prüfpfade, um den Aufsichtsbehörden die Einhaltung der Vorschriften nachzuweisen.
• HIPAA: Verpflichtet betroffene Einrichtungen und Geschäftspartner dazu, Kontrollmechanismen einzurichten, mit denen der Zugriff auf elektronische geschützte Gesundheitsdaten (ePHI) protokolliert und überprüft wird. SIEM bietet die Protokollierung und Zugriffsüberwachung, die diese Anforderung erfüllt, und erstellt die für HIPAA-Audits erforderlichen Berichte.
• PCI-DSS: Verlangt von Organisationen, die mit Karteninhaberdaten umgehen, die Implementierung von Systemen zur Erkennung von Eindringlingen, die Überwachung aller Zugriffe auf Netzwerkressourcen und Karteninhaberdaten sowie die tägliche Überprüfung der Protokolle. SIEM automatisiert alle drei Aufgaben.
• SOC 2: Verlangt von Dienstleistungsunternehmen den Nachweis von Kontrollmaßnahmen zur Sicherheitsüberwachung. Die Funktionen von SIEM zur kontinuierlichen Überwachung und Protokollaufbewahrung unterstützen direkt die „Trust Service Criteria“, die im Rahmen von SOC-2-Prüfungen bewertet werden.
• NIST 800-53: Das NIST-Rahmenwerk, das in den US-Bundesbehörden weit verbreitet ist und auf das sich viele Compliance-Programme der Privatwirtschaft beziehen, umfasst explizite Kontrollmaßnahmen für Audits und Rechenschaftspflicht (die AU-Kontrollfamilie), die festlegen, welche Ereignisse erfasst werden müssen, wie Protokollinhalte strukturiert sein müssen, wie lange Daten aufbewahrt werden müssen und wie Fehler behandelt werden müssen. SIEM ist der Standardmechanismus, um diese Kontrollmaßnahmen in großem Maßstab zu erfüllen.

Für Unternehmen, die gleichzeitig mehreren Rahmenwerken unterliegen, lassen sich durch die zentralisierte Protokollierung und automatisierte Berichterstellung von SIEM-Systemen die mit der Einhaltung von Vorschriften verbundenen Aufwände oft erheblich reduzieren, verglichen mit der separaten Verwaltung der Anforderungen jedes einzelnen Rahmenwerks.

Wie sich SIEM in Ihre übergreifende Sicherheitsarchitektur einfügt

SIEM arbeitet nicht isoliert und ersetzt auch nicht die anderen Tools in Ihrem Sicherheits-Stack. Wenn man versteht, wo es im Verhältnis zu anderen Technologien angesiedelt ist, lässt sich sowohl seine Funktionsweise als auch seine Grenzen besser nachvollziehen.

SIEM ist die Aggregations- und Korrelationsschicht. Es sammelt Daten aus anderen Tools, darunter Endpoint Detection and Response (EDR), Firewalls, Identitätsplattformen und Cloud-Sicherheitstools, und erstellt so ein umgebungsübergreifendes Gesamtbild, das einzelne Tools allein nicht liefern können. EDR erfasst, was auf einem Endpunkt geschieht. SIEM verknüpft dieses Endpunkt-Ereignis mit einer gleichzeitig stattfindenden verdächtigen Anmeldung und einer ungewöhnlichen ausgehenden Verbindung und stellt diese als einen einzigen Vorfall dar.

SOAR-Plattformen erweitern SIEM, indem sie die Reaktion auf Warnmeldungen automatisieren und Playbooks ausführen, mit denen ein Gerät unter Quarantäne gestellt, eine IP-Adresse blockiert oder ein Ticket erstellt werden kann, ohne dass ein Analyst eingreifen muss. Viele moderne SIEM-Tools beginnen mittlerweile, SOAR-ähnliche Automatisierungsfunktionen nativ zu integrieren, doch in Unternehmen mit komplexen Reaktionsabläufen bleiben die beiden Bereiche weiterhin voneinander getrennt.

XDR verfolgt einen anderen Ansatz und konzentriert sich auf die Erkennung und Reaktion auf der Grundlage eines einheitlichen Satzes von Telemetriequellen, anstatt auf die Protokollaggregation und Compliance. Die beiden Kategorien nähern sich zunehmend an, wobei Plattformen Elemente beider Bereiche integrieren; je nach den primären Sicherheitszielen des Unternehmens erfüllen sie jedoch weiterhin unterschiedliche Funktionen.

Für Teams, die nicht über die Kapazitäten verfügen, ein vollwertiges SIEM-System intern zu betreiben, bietet ein Managed SOC das erforderliche Fachwissen und eine Rund-um-die-Uhr-Betreuung, wodurch die Erkennung von Bedrohungen praktikabel wird, ohne dass eigens dafür zuständiges internes Sicherheitspersonal erforderlich ist.

Um einen tieferen Einblick zu erhalten, wie sich SIEM im Vergleich zu ähnlichen Tools verhält und wann die jeweiligen Tools zum Einsatz kommen sollten, lesen Sie unsere einzelnen Leitfäden, die unten verlinkt sind:

• SIEM vs. EDR
• SIEM vs. SOAR
• SIEM vs. XDR
• SIEM vs. MDR

Verbessern Sie die Korrelation von Sicherheitsdaten mit Kaseya SIEM

SIEM ist zu einem zentralen Bestandteil der Strategien von Unternehmen bei der Erkennung von und Reaktion auf Bedrohungen geworden – nicht, weil es einfach zu bedienen ist, sondern weil die Alternative, nämlich das Zusammensetzen von Sicherheitsereignissen aus Dutzenden von nicht miteinander verbundenen Tools, nicht skalierbar ist.

Für Teams, die derzeit SIEM-Lösungen evaluieren: Kaseya SIEM wurde speziell für die Umgebungen entwickelt, in denen die meisten MSPs und IT-Teams arbeiten – mit begrenzter Personalstärke, großer Angriffsfläche und hohem Compliance-Anspruch. Die Lösung bündelt Telemetriedaten aus über 60 Datenquellen, speichert Protokolle 400 Tage lang und bietet eine korrelierte Bedrohungserkennung mit SOC-Support rund um die Uhr – und das ohne die Komplexität und die Kosten, die Unternehmens-SIEM-Lösungen für kleinere Teams bisher unerschwinglich gemacht haben.