Security Information and Event Management

SIEM - das bessere PRISM im Cyberwar?

Die Angst vor Angriffen aus dem Cyberspace wird immer größer. Als Hauptverantwortliche gelten gut organisierte Netzwerke von Cyber-Kriminellen, wobei ein wichtiger Aspekt oftmals übersehen wird: der eigene Mitarbeiter. Unabsichtlich oder auch mit Vorsatz können sie dem eigenen Unternehmen Schaden zufügen.

Vergangenes Jahr betrieb die Corporate Trust GmbH eine Studie mit dem Titel "Industriespionage 2012 - Aktuelle Risiken für die deutsche Wirtschaft durch Cyberwar". Sie brachte unter anderem ans Licht, dass bereits 20 Prozent der befragten Unternehmen von Spionagevorfällen betroffen sind. Berücksichtigt man die nicht weiter konkretisierten oder nicht eindeutig nachgewiesenen Fälle, steigt der Anteil auf 54 Prozent. Dabei ist deutschlandweit ein Schaden von 4,3 Milliarden Euro entstanden. In mehr als der Hälfte der Fälle konnten Mitarbeiter als Urheber identifiziert werden.

Ein Ansatz, um derartige Bedrohungsszenarien zu erkennen, ist die Einführung eines Security-Information-and-Event-Management-Systems (SIEM). Es bietet Möglichkeiten zur zentralen Sammlung und Auswertung von Log-Meldungen aller angebundenen Komponenten. Auch die Verknüpfung von Log-Meldungen unterschiedlicher Systeme (sogenannte Korrelation) ist möglich. Bekannte Angriffsmuster beziehungsweise auch Abweichungen vom Normalverhalten können nahezu in Echtzeit erkannt und entsprechende Gegenmaßnahmen eingeleitet werden. Durch die zentrale Sammlung von Log-Meldungen werden auch forensische Auswertungen erheblich erleichtert.

PRISM im Unternehmen?

Es stellt sich aber auch die Frage, was zum Schutz vor Angriffen erlaubt ist. SIEM-Systeme bieten die technische Möglichkeit, Mitarbeiter zu überwachen und detaillierte Profile zu erstellen. Der Schritt zu einem firmeninternen PRISM ist nicht mehr weit. Diesem gilt es mit Hilfe von Regeln und technisch sinnvollen Beschränkungen entgegenzuwirken.

Security-Information-and-Event-Management-Systems (SIEM)
Security-Information-and-Event-Management-Systems (SIEM)
Foto: Secaron AG

Um die aufgeworfene Frage richtig betrachten zu können, muss zuerst das Vorgehen eines SIEM-Systems verstanden werden. Dieses lässt sich in folgende drei Ebenen unterteilen.

  • Auf der untersten Ebene finden sich Log-Meldungen, die von den angeschlossenen Systemen erzeugt werden. Abhängig von der Log-Quelle werden die Log-Meldungen selbständig an das SIEM-System übermittelt, wie es beispielsweise bei Routern konfiguriert werden kann. Auch ein periodisches Abholen der Log-Meldungen von der Log-Quelle ist abbildbar. Diese Situation kann beispielsweise bei der Anbindung von Firewalls vorliegen.

  • Auf der mittleren Ebene erfolgt eine Vorverarbeitung der Log-Meldungen. Neben der Filterung und Normalisierung, was einem Überführen der verschiedenartigen Meldungen in ein einheitliches und vom Tool verständliches Format entspricht, werden die Log-Meldungen dabei auch zusätzlich aggregiert und kategorisiert. Die Notwendigkeit hierzu leitet sich aus der schieren Vielzahl unterschiedlicher Log-Meldungen und -Formate ab. Nach Abschluss der Vorverarbeitung werden die verbleibenden Log-Meldungen als Events bezeichnet.

  • In der obersten Ebene (Event Monitoring System) beginnt die eigentliche Aufgabe eines SIEM-Systems: Hier werden die Events korreliert. Dazu sind im Tool Regeln hinterlegt, die nahezu in Echtzeit auf die eingehenden Events angewandt werden. Eine Regel wird aktiviert, wenn mindestens ein passendes Event erkannt wurde; eine Regel "feuert", wenn alle notwendigen Events eingetroffen sind. In letzterem Fall wird zunächst ein sogenanntes Meta-Event erzeugt. Dabei handelt es sich um ein Ereignis, das inhaltlich alle an der Korrelation beteiligten Events umfasst. Weiter können Warnmeldungen beziehungsweise andere Formen der Benachrichtigungen generiert werden. Diese triggern Prozesse, welche die Analyse des potenziellen Angriffs übernehmen und diesem gegebenenfalls entgegenwirken.