Was ist ein SIEM?

SIEM steht für Security Information and Event Management. Ein SIEM zentralisiert Logs und Alarme von Endgeräten, Servern, Identitätssystemen, Netzwerkgeräten und Cloud-Diensten. Regeln und Analysen verbinden einzelne Ereignisse und erkennen Muster, die in nur einer Quelle schwer zu sehen wären.

Ein SIEM erzeugt nicht schon dadurch gute Erkennung, dass es alles sammelt. Datenquellen brauchen klare Anwendungsfälle, zuverlässige Zeitstempel, Normalisierung und Verantwortliche. Schlechte Logs verursachen teuren Speicher und laute Alarme statt besserer Sicherheit.

Was leistet ein SIEM?

• - Zentrale Suche und Aufbewahrung sicherheitsrelevanter Ereignisse.
• - Korrelation und Erkennungsregeln über verschiedene Systeme hinweg.
• - Dashboards, Alarm-Workflows und Belege für Untersuchungen.
• - Berichte für betriebliche und gegebenenfalls regulatorische Anforderungen.

Wer arbeitet mit dem SIEM?

Ein SOC überwacht und untersucht typischerweise SIEM-Alarme. Incident Responder rekonstruieren mit historischen Daten Aktivitäten. Engineering-Teams müssen Quellen pflegen und Erkennungen an veränderte Systeme anpassen.

Welche Datenquellen sind wichtig?

Priorität haben Quellen, die kritische Identitäten, Systeme und Übergänge sichtbar machen. Typischerweise gehören Identity Provider und Active Directory, EDR, Firewalls, DNS, VPN, E-Mail, Cloud Control Plane, wichtige SaaS-Dienste und besonders schützenswerte Anwendungen dazu. Vollständigkeit bedeutet nicht, jede Debug-Zeile dauerhaft zu speichern. Für jeden Use Case muss klar sein, welches Ereignis, welche Felder und welche Aufbewahrungszeit benötigt werden.

Wie verarbeitet ein SIEM Ereignisse?

1. Erfassen:
   Agenten, APIs, Syslog oder Streaming-Dienste übertragen Ereignisse.
2. Parsen und normalisieren:
   Rohdaten werden in verlässliche Felder und ein gemeinsames Schema überführt.
3. Anreichern:
   Asset-Kritikalität, Benutzerkontext, Geodaten oder Threat Intelligence ergänzen das Ereignis.
4. Korrelieren:
   Regeln, Sequenzen, Schwellenwerte und Analysen suchen nach relevantem Verhalten.
5. Alarmieren und untersuchen:
   Ein Case bündelt Belege und wird nach Risiko priorisiert.

Falsche Zeitstempel, wechselnde Feldnamen oder verlorene Events beschädigen die gesamte Kette. Daten-Onboarding benötigt deshalb Tests und laufendes Health Monitoring. Ein Dashboard, das keine Datenlücke anzeigt, kann ein gefährliches Gefühl vollständiger Sichtbarkeit erzeugen.

Wie entsteht ein Detection Use Case?

Ausgangspunkt ist ein relevantes Angriffsszenario, nicht eine Produktfunktion. Für verdächtige Kontoübernahme wird beispielsweise definiert, welche Abfolge aus neuem Gerät, ungewöhnlichem Ort, fehlgeschlagener MFA und Rollenänderung kritisch ist. Danach folgen benötigte Daten, Logik, Ausnahmen, Priorität, Triage-Schritte und erwartete Reaktion. Tests mit kontrollierten Ereignissen belegen, dass der Use Case tatsächlich auslöst. Kennzahlen und Analystenfeedback zeigen, ob er angepasst oder entfernt werden muss.

SIEM, EDR, SOAR und SOC

Ein SIEM ist die Plattform für zentrale Ereignisdaten und Korrelation. EDR überwacht Endpunkte und kann dort reagieren. SOAR orchestriert Abläufe zwischen Werkzeugen. Das SOC ist die organisatorische Fähigkeit aus Menschen, Prozessen und Technik. Moderne Produkte kombinieren diese Kategorien, die Aufgaben bleiben jedoch unterschiedlich. Der Kauf eines SIEM schafft daher noch kein funktionierendes SOC.

Wie führt man ein SIEM sinnvoll ein?

1. Kritische Assets, Bedrohungsszenarien und regulatorische Anforderungen priorisieren.
2. Mit wenigen hochwertigen Datenquellen und klaren Use Cases beginnen.
3. Parser, Zeit, Vollständigkeit und erwartete Ereignisse automatisiert überwachen.
4. Alarmverantwortung, Eskalation, Rufbereitschaft und Reaktionsrechte festlegen.
5. Speicherkosten, Datenschutz und Aufbewahrung bewusst steuern.
6. Erkennungen regelmäßig simulieren, messen und verbessern.