SIEM (Security Information and Event Management) bezeichnet ein System, das Protokoll- und Ereignisdaten aus verschiedenen IT-Systemen zentral sammelt, korreliert und auswertet, damit sich Sicherheitsereignisse und ungewöhnliches Verhalten erkennen lassen.
Auf einen Blick
Ein SIEM verknüpft Einträge aus verschiedenen Quellen, damit sich ein Verdachtsfall im Zusammenhang mit weiteren Informationen erschließen lässt.
Es löst Warnmeldungen aus, wenn die Auswertung der Logquellen auf Auffälligkeiten hindeutet.
DORA und die delegierte Verordnung zum IKT-Risikomanagement nennen kein SIEM, verlangen von Finanzunternehmen aber einen Mechanismus zur Erkennung anomaler Aktivitäten.
Was ist ein SIEM?
Im Kern führt ein SIEM die Ereignismeldungen verschiedener IT-Systeme und Anwendungen an einer zentralen Stelle zusammen, wo sie sich gemeinsam auswerten lassen. Laut BSI lässt sich aus einzelnen Protokolldaten in den meisten Fällen nicht eindeutig auf einen Verdachtsfall schließen. Erst in Korrelation mit anderen Informationen, etwa weiteren Protokolldaten oder Kontextinformationen, lässt sich erschließen, dass ein Verdachtsfall existieren könnte. Damit Protokoll- und Protokollierungsdaten korreliert und abgeglichen werden können, sollten sie zeitlich synchronisiert sein. Für einen Gesamtüberblick über den Informationsverbund können die Protokollierungsereignisse an eine dedizierte Protokollierungsinfrastruktur gesendet und dort zentral gespeichert werden. Ereigniskorrelation bedeutet nach dem NIST, Beziehungen zwischen zwei oder mehr Logeinträgen aufzufinden.
Ein unter DORA fallender Versicherer könnte im SIEM etwa Protokoll- und Ereignisdaten aus Bestandsführung, Kundenportal und Netzwerk zusammenführen und korrelieren; nach der delegierten DORA-Verordnung muss sein Mechanismus zum umgehenden Aufdecken anomaler Aktivitäten es ermöglichen, interne und externe Faktoren, darunter zumindest die gemäß Artikel 12 gesammelten Protokolle, zu sammeln, zu überwachen und zu analysieren. Weder DORA noch die delegierte Verordnung zum IKT-Risikomanagement nennen den Begriff SIEM.
Wie funktioniert ein SIEM?
Nach dem BSI-Kriterienkatalog C5 für Cloud-Anbieter umfasst ein SIEM-System unter anderem die Standardisierung von Protokolldaten. Dazu kommen die automatisierte Analyse zur Identifizierung und Korrelation potenzieller Sicherheitsvorfälle sowie Fähigkeiten zur Detektion ungewöhnlichen Verhaltens und potenzieller Bedrohungen. Für Cloud-Anbieter verlangt der Katalog, dass ihr SIEM-System innerhalb der Cloud-Umgebung oder extern bereitgestellt wird und die genannten Funktionen umfasst. Dazu gehören auch eine Echtzeit-Alarmierung, um das Incident-Response-Team über kritische Ereignisse zu informieren, und die Meldung neuer, für ein Ereignis relevanter Informationen.
Nach der älteren NIST-Veröffentlichung SP 800-92 besteht ein SIEM-Produkt aus einem oder mehreren Logservern, die die Logs analysieren, und einem oder mehreren Datenbankservern, die sie speichern. SIEM-Produkte unterstützen in der Regel mehrere Dutzend Arten von Logquellen, darunter Betriebssysteme, Sicherheitssoftware, Anwendungsserver und sogar Geräte der physischen Zutrittskontrolle wie Ausweisleser. Erkennungsregeln werden nach dem britischen National Cyber Security Centre (NCSC) typischerweise in SIEM-Werkzeugen umgesetzt und durchsuchen die Logquellen automatisch nach passenden logischen Mustern. Die zugehörigen Warnmeldungen entstehen nahezu in Echtzeit, während die Loginformationen gesammelt und analysiert werden, je nach eingesetzter Technologie.
SIEM im Vergleich
Ein SIEM ist ein System zum Sammeln und Auswerten von Protokolldaten und damit Technik, auf die sich SOC-Teams nach ENISA bei der Automatisierung ihrer Überwachung stützen. Die delegierte Verordnung (EU) 2024/1774 verlangt in Artikel 23 von Finanzunternehmen sowohl klare Aufgaben und Zuständigkeiten als auch einen Mechanismus, der Tools einsetzt, die zumindest für IKT- und Informationsassets, die kritische oder wichtige Funktionen unterstützen, Warnmeldungen generieren.
Ein EDR-System ist nach dem britischen NCSC auf das Erkennen und Untersuchen verdächtiger Aktivitäten auf Endgeräten wie Arbeitsplatzrechnern, Laptops und Smartphones ausgerichtet; ein SIEM wertet dagegen Protokolldaten aus, die verschiedene IT-Systeme und Anwendungen liefern; die Cybersicherheitswarnung des BSI führt eine SIEM-Lösung und Sicherheitslösungen wie EDR, XDR und AV-Lösungen als getrennte Maßnahmen auf. Für die automatische Reaktion nennt dieselbe Warnung ferner Security Orchestration, Automation, and Response (SOAR) im Security Operations Center.
Wann braucht ein Unternehmen ein SIEM?
| Situation | Worauf es ankommt |
|---|---|
| Keine zentrale Protokollierung im Informationsverbund | Ohne zentrale Protokollierung lässt sich nach dem BSI-Baustein OPS.1.1.5 schwer sicherstellen, dass die relevanten Protokollinformationen aller IT-Systeme und Anwendungen erhalten bleiben und ausgewertet werden. |
| Fehlende Zeitsynchronisation der Systeme | Eine fehlende Zeitsynchronisation erschwert es nach demselben Baustein, erhobene Protokollierungsdaten auszuwerten, etwa wenn sie auf einem zentralen Logserver gespeichert werden. |
| Einzelne Protokolldaten zeigen keinen Verdachtsfall | Nach dem BSI-Mindeststandard zur Protokollierung und Detektion lässt sich aus einzelnen Protokolldaten allein in den meisten Fällen nicht eindeutig auf einen Verdachtsfall schließen; erst in Korrelation mit anderen Informationen, etwa weiteren Protokolldaten oder Kontextinformationen, lässt sich erschließen, dass ein Verdachtsfall existieren könnte. |
| Automatisierte Auswertung und Alarmierung gewünscht | Eine BSI-Cybersicherheitswarnung empfiehlt eine SIEM-Lösung zur automatisierten Auswertung der Protokolldaten, zur Alarmierung im Falle von Auffälligkeiten sowie zur unverzüglichen Analyse und Reaktion auf mögliche IT-Sicherheitsvorfälle. |
Schutz im Ernstfall
Vorbeugen
- Ereignismeldungen der IT-Systeme und Anwendungen, die auf einer zentralen Protokollinfrastruktur gespeichert sind, sollten nach dem BSI-Baustein DER.1 mithilfe eines Tools abgerufen werden können.
- Nach demselben Baustein sollten alle Protokollierungsdaten möglichst permanent aktiv überwacht und ausgewertet werden.
- Für ein unter DORA fallendes Finanzunternehmen umfassen die Verfahren zur Datenaufzeichnung nach Artikel 12 Absatz 2 Buchstabe c der delegierten Verordnung (EU) 2024/1774 die Anforderung, Ereignisse aufzuzeichnen, die sämtliche der folgenden Aspekte betreffen: logische und physische Zugangskontrolle und Identitätsmanagement, Kapazitätsmanagement, Änderungsmanagement, IKT-Vorgänge einschließlich IKT-Systemaktivitäten sowie Netzwerkverkehrsaktivitäten.
Beispiele aus der Praxis
- Ein Betreiber wertet Protokolldaten mit einer SIEM-Lösung automatisiert aus, lässt sich bei Auffälligkeiten alarmieren und analysiert mögliche IT-Sicherheitsvorfälle unverzüglich; genau dafür empfiehlt das BSI in einer Cybersicherheitswarnung den Einsatz einer SIEM-Lösung.
- Ein Cloud-Anbieter integriert relevante Protokolldaten seines Cloud-Dienstes und eigene Anbieterdaten in ein SIEM-System, um Protokollierung, Überwachung und Sicherheitsvorfallmanagement nahtlos zu verbinden, wie es der Kriterienkatalog C5 vorsieht.
- Ein unter DORA fallender Versicherer könnte etwa Protokolldaten aus Bestandsführung, Kundenportal und Netzwerk im SIEM zusammenlaufen und korrelieren lassen, um anomale Aktivitäten umgehend aufzudecken.