SIEM als Management-Tool

Der SIEM-Ansatz greift bei strategischen Anforderungen für IT-Security und Compliance. So steht das SIM - Security Information Management - für klassisches Log Management, um IT-Forensik zu ermöglichen. Die Voraussetzung dafür ist eine hundertprozentige Log-Daten-Speicherung unterschiedlichster Plattformen, Applikationen und Protokoll-Ebenen. Anhand dessen sind beispielsweise nahezu in Echtzeit Anomalien im Log-Aufkommen sowie Bruteforce- und DDoS-Angriffe zu erkennen. Über SEM-Korrelationen aus der Log-Sammlung gelingt die Kontrolle von Benutzerkonten anhand definierter IT-Sicherheitsrichtlinien. So folgt etwa bei einer doppelten Anmeldung von Benutzern oder deren Anmeldung von weit voneinander entfernten Standorten aus direkt eine Alarm-Meldung.

Entscheidend ist, dass die Alarme auch unmittelbar einen Prozess auslösen: Wer ist für sofortiges Handeln verantwortlich und welche Maßnahmen sind zu ergreifen? Kritisch werden organisatorische Fragen insbesondere bei Vorfällen wie Port Scans: Sind dafür auch am Wochenende die verantwortlichen IT-Mitarbeiter definiert? Was ist zu tun, wenn der Mitarbeiter auf dem Server keine Ursache findet? Wird der Server pauschal neu installiert oder vom Netz genommen? Schließlich könnte es ein Trojaner sein, der von der Anti-Viren-Software noch nicht erkannt wird. Welche Prozesse sind einzuhalten, wenn unternehmenskritische Systeme wie Active Directory oder der Exchange Server angegriffen werden? Ist überhaupt definiert, was zu den Kernsystemen eines Unternehmens zählt?

Diese Fragestellungen zeigen zwei Aspekte auf: Selbst die ausgefeiltesten Echtzeit-Systeme führen nur dann zu höherer Sicherheit und Leistung im IT-Betrieb, wenn die Unternehmensorganisation in ihrer Handlungsfähigkeit diszipliniert darauf abgestimmt ist. Das gilt sowohl hinsichtlich der Arbeitsabläufe als auch der Verantwortlichkeiten. Zum zweiten ist wesentlich, das Leistungsspektrum der einzelnen Sicherheitslösungen im Detail zu kennen und abzugleichen. Nur dann greifen sie ineinander und sorgen tatsächlich für eine lückenlose Überwachung der Ereignisse im IT-Netz.

Fazit

Modernes Log Management unterstützt Unternehmen nicht nur bei der Einhaltung von Compliance-Vorgaben und der Absicherung der Netze. Es kann auch dabei helfen, die IT besser zu steuern, vorausschauend zu kontrollieren und ein kontinuierliches Qualitätsmanagement zu etablieren. Die wichtigsten Kriterien dafür: Sämtliche Log-Daten müssen revisionssicher erfasst werden, die Auswertung der Logs muss die Richtlinien des Datenschutzes berücksichtigen, die Lösung muss unbegrenzt erweiterbar sein, die Verarbeitung von mehreren Terabytes an Logs darf zu keiner Überlastung führen und sie muss auch Cloud-Umgebungen abdecken.

System-Event-Monitoring-Systeme hingegen funktionieren über die Definition gezielter Anwendungsfälle. Projektverantwortliche müssen zudem klären, welche Alarme in welcher Konstellation erfolgen sollen. (sh)