Sicherheitsinformations- und Ereignismanagement (SIEM)

Was ist SIEM (Security Information and Event Management)?

SIEM, kurz für Security Information and Event Management, ist ein System, das die Erfassung, Speicherung und Verwaltung von Protokolldaten zentralisiert, die von verschiedenen Geräten und Softwareanwendungen erzeugt werden. Es analysiert diese Daten in Echtzeit, um Sicherheitsbedrohungen zu erkennen, und gibt bei ungewöhnlichen Ereignissen Warnmeldungen aus. Der Begriff SIEM bezeichnet auch die zu diesem Zweck eingesetzte Software.

Zu den wichtigsten Funktionen von SIEM gehören:

• Erfassung und Speicherung von Ereignisprotokollen:
  SIEM-Systeme erfassen und speichern sicherheitsrelevante Ereignisprotokolle aus verschiedenen Quellen wie Firewalls, WAFs, Antivirensoftware, Proxyservern, Betriebssystemen und Anwendungen. Die Erfassung zu vieler Protokolle kann jedoch den Betriebsaufwand erhöhen und Prozesse wie die Normalisierung erschweren. Daher ist es entscheidend, Protokollquellen sorgfältig zu priorisieren und auszuwählen.
• Normalisierung von Protokolldaten:
  Die erfassten Daten müssen hinsichtlich Format und Interpretation vereinheitlicht und Redundanzen beseitigt werden. Dieser Prozess wird als Normalisierung bezeichnet.
• Korrelationsanalyse über mehrere Protokolldaten hinweg:
  Bestimmte Sicherheitsbedrohungen lassen sich nicht anhand eines einzelnen Protokolleintrags erkennen. SIEM-Systeme analysieren mehrere Protokolleinträge gemeinsam, um Muster und Bedrohungen zu identifizieren, die aus einzelnen Protokollen nicht ersichtlich sind. Bei Passwortlistenangriffen gibt es beispielsweise deutlich weniger Anmeldeversuche als bei Brute-Force-Angriffen, sodass sie sich kaum von typischen Eingabefehlern der Benutzer unterscheiden lassen. Durch die Aggregation von Protokollen anhand der Quell-IP-Adresse und die Erkennung mehrerer Anmeldeversuche mit unterschiedlichen IDs von derselben IP-Adresse kann ein SIEM-System Passwortlistenangriffe identifizieren.
• Warnmeldungen und Berichterstellung:
  Wenn das SIEM Ereignisse erkennt, die auf Sicherheitsbedrohungen hindeuten, sendet es Warnmeldungen an die Administratoren. Darüber hinaus erstellt es Berichte, die diese Ereignisse visuell darstellen und so eine bessere Verwaltung und Optimierung der Sicherheitsmaßnahmen ermöglichen.

F5s BIG-IP erfasst umfangreiche sicherheitsrelevante Daten und lässt sich in verschiedene SIEM-Tools integrieren, wodurch Sicherheitsmaßnahmen durch umfassende Datenanalysen und Bedrohungserkennung weiter verbessert werden.