Begriffe kurz erklärt
Was ist ein SIEM? Security Information and Event Management
Ein SIEM (Security Information and Event Management) ist ein System, das Protokolldaten aus vielen Quellen zentral sammelt, auswertet und bei verdächtigen Mustern Alarm schlägt. Quellen sind zum Beispiel Firewalls, Server, das Active Directory, Cloud-Dienste und Sicherheitssoftware auf den Endgeräten. Dadurch werden Zusammenhänge sichtbar, die in einem einzelnen System unauffällig wären.
Wie ein SIEM funktioniert
Ein SIEM bringt Meldungen aus unterschiedlichen Systemen in ein einheitliches Format und verknüpft sie über Regeln. Ein Beispiel: Erst scheitern viele Anmeldeversuche an einem Konto, kurz darauf gelingt eine Anmeldung aus einem ungewöhnlichen Land, danach erhält das Konto Administratorrechte. Jedes Ereignis für sich wirkt harmlos, zusammen ergibt es ein Warnsignal.
Die gesammelten Daten werden außerdem gespeichert. So lässt sich nach einem Vorfall nachvollziehen, was wann passiert ist.
Worauf es in der Praxis ankommt
Der größte Aufwand liegt im laufenden Betrieb. Regeln müssen an das Unternehmen angepasst, Fehlalarme reduziert und echte Alarme rund um die Uhr bewertet werden. Ohne diese Arbeit sammelt ein SIEM nur Daten. Mittelständische Unternehmen nutzen es deshalb meist als Dienstleistung über ein Security Operations Center (SOC), ein Team von Sicherheitsfachleuten, das die Alarme auswertet.
Protokolle enthalten personenbezogene Daten, etwa Benutzernamen und Anmeldezeiten. Speicherdauer und Zugriffsrechte sollten deshalb mit dem Datenschutz abgestimmt sein.
Mehr dazu: IT-Security · Managed Services
Häufige Fragen
Was ist der Unterschied zwischen SIEM und EDR?
EDR überwacht einzelne Endgeräte und kann dort direkt eingreifen. Ein SIEM sammelt Daten aus vielen Systemen, auch aus dem EDR, und erkennt Zusammenhänge über das gesamte Netzwerk hinweg.
Braucht ein mittelständisches Unternehmen ein SIEM?
Das hängt von Größe, Risiko und regulatorischen Anforderungen ab. Oft ist ein SIEM als Dienstleistung mit SOC sinnvoller als ein selbst betriebenes System, weil die Auswertung der Alarme den größten Aufwand macht.
Wie sieht das bei Ihnen aus?
Wie das bei Ihnen aussieht, klären wir am besten im Gespräch. Wir sagen Ihnen, was davon für Ihren Betrieb wichtig ist.