SIEM – wieder so eine Abkürzung. Sie steht für Security Information and Event Management und ist vergleichbar mit den bekannten Managementplattformen, die sich um die physische Sicherheit kümmern. Während das Physical Security Information Management (PSIM) sich um Informationen aus Brand, Einbruch, Video und Zutrittskontrolle kümmert und in einem Security Control Room (Sicherheitszentrale) genutzt wird, ist die SIEM-Software im Cyber Security Control Room anzusiedeln und sammelt Informationen zur Informationssicherheit.
Kümmern sich die Disponenten eines PSIM also um die physische Sicherheit und müssen in Themen wie Alarmbearbeitung, -disposition und Intervention geschult sein, so sollten Bediener eines SIEM erfahrene IT-Spezialisten sein, die sich zudem besonders gut mit der Anwendung von Informationssicherheit auskennen sollten. Wir haben es also mit unterschiedlicher Software und unterschiedlichen Nutzergruppen zu tun, die aber durchaus Gemeinsamkeiten haben. Sie überwachen 24/7 und benötigen hoch verfügbare IT-Anwendungen in einer entsprechend ausgelegten Arbeitsumgebung. Zudem sollte ein SIEM auch ein PSIM überwachen, um die Informationssicherheit von Letzterem zu gewährleisten.
Ein SIEM agiert also ähnlich wie ein PSIM. Beim Security Information and Event Management handelt es sich jedoch um Schnittstellen zu Netzwerk- und IT-Sicherheitsprodukten, um aus diesen Komponenten Informationen zu sammeln, auszuwerten und in aggregierter Form dem IT-Security Response Team aufbereitet darzustellen. Die Experten können anhand der gesammelten Echtzeitdaten nun den Sicherheitsstatus erkennen und Angreifer durch spezifische Maßnahmen abwehren. Ohne eine solche Software würden Cyberangriffe vielleicht verzögert, nicht jedoch detektiert und zielgerichtet abgewehrt. Eine nachträgliche forensische Untersuchung, wie sie in verschiedenen Richtlinien und Gesetzen gefordert wird, wäre ebenfalls oftmals mangels Daten nicht möglich.
Ein SIEM bietet Schnittstellenintegration zu Authentifizierung, Clouddiensten, Data Loss Prevention, Datenbanken, Verzeichnisdiensten, E-Mail und Endpoint Security, Anti-Malware sowie Netzwerkzugangskontrolle und sammelt Logdaten von Betriebssystemen, Anwendungen, Datenbanken usw.
Eine SIEM-Anwendung konzentriert also alle Informationen und bietet so die Möglichkeit, Trends sowie Muster aufbereitet darzustellen und Abweichungen vom Normalzustand einfacher erkennbar zu machen, sodass Entscheidungen leichter und besser getroffen werden können. Erforderliche Berichte zum Zustand der Informationssicherheit können schnell und einfach generiert werden, falls Compliancevorgaben Nachweise für funktionierende Informations bzw. IT-Sicherheit fordern.
Wie man sich sicher denken kann, ist die Einführung eines SIEM sowohl wirtschaftlich als auch personell aufwendig – insbesondere im Hinblick auf Betrieb und Datenpflege. Fehlen die Ressourcen – oft vor allem das geeignete Personal –, ein eigenes SIEM einzuführen, bieten Dienstleister diesen Service auch als Cloud-Lösung inklusive Cyber Security Control Center an.
