Ein SIEM ist ein System, das Meldungen aus vielen Quellen sammelt und auf Angriffe hin auswertet. Die Abkürzung steht für Security Information and Event Management.
- SIEM
Ein System, das Meldungen aus vielen Quellen sammelt und auf Angriffe hin auswertet.
Beispiel: „Das SIEM schlug an, weil sich dasselbe Konto innerhalb einer Minute aus zwei Ländern anmeldete.“Auch: Security Information and Event Management. Eine Erweiterung mit automatischen Gegenmaßnahmen heißt SOAR.
Abgrenzung zum Logging: Das Logging schreibt auf, was passiert. Das SIEM führt diese Aufzeichnungen zusammen und sucht darin nach Mustern.
Was ein SIEM leistet
Es sieht Zusammenhänge, die in einer einzelnen Quelle nicht stehen. Eine fehlgeschlagene Anmeldung ist belanglos; fünfzig davon, gefolgt von einer erfolgreichen und einem Zugriff auf einen Dateiserver, sind ein Vorfall. Weil die drei Ereignisse aus drei verschiedenen Systemen stammen, fällt der Zusammenhang nur dort auf, wo alles zusammenläuft.
Woran SIEM-Einführungen scheitern
An der Menge und an den Fehlalarmen. Ein SIEM, das alles einsammelt und zu jedem Muster meldet, erzeugt am ersten Tag hunderte Meldungen; nach zwei Wochen sieht niemand mehr hin, und das teure System ist wertlos geworden. Die Einführung besteht deshalb zum größten Teil aus dem Zurechtschneiden der Regeln und nicht aus der Installation.
Für wen sich ein SIEM lohnt
Für Häuser mit genug Systemen und genug Personal, um Meldungen zu bearbeiten. Unter dieser Schwelle ist der ehrlichere Weg, wenige Dinge gut aufzuzeichnen und gezielt nachzusehen, siehe Logfile-Analyse. Eine Alarmanlage ohne jemanden, der auf den Alarm reagiert, schützt nichts; das gilt für das SIEM genauso wie für die Alarmanlage.