Schutz und Abwehr
SIEM
Ein SIEM sammelt Protokolle von Servern, Firewall und Cloud an einer Stelle und wertet sie aus, um Angriffe und Auffälligkeiten zu erkennen.
SIEM steht für Security Information and Event Management. Jedes Gerät und jede Software schreibt laufend Protokolle: wer sich wann angemeldet hat, welche Verbindung die Firewall gesperrt hat, welches Konto ein Passwort geändert hat. Ein SIEM sammelt diese Einträge aus allen Quellen zentral.
Der eigentliche Nutzen liegt in der Auswertung. Ein SIEM verknüpft Ereignisse nach Regeln. Zwanzig fehlgeschlagene Anmeldungen am VPN, kurz danach eine erfolgreiche Anmeldung von einer ausländischen Adresse und dann ein neues Administratorkonto: Einzeln fällt das kaum auf, zusammen ergibt es ein klares Bild.
Ein SIEM hilft auch im Nachhinein. Nach einem Vorfall lässt sich nachvollziehen, wann der Angreifer eingedrungen ist und was er getan hat. Das ist für die Incident Response und für Meldepflichten wertvoll.
Für kleine Betriebe ist ein eigenes SIEM meist zu aufwendig: Es braucht Regeln, Pflege und jemanden, der die Alarme bearbeitet. Häufig wird es deshalb als Teil eines SOC oder eines MDR-Dienstes genutzt.
Für Ihren Betrieb
Prüfen Sie, wie lange Ihre Systeme Protokolle aufbewahren und ob diese nach einem Angriff noch vorhanden wären. Ohne Protokolle lässt sich ein Vorfall kaum aufklären.