SIEM

Ein SIEM (Security Information and Event Management) ist eine Software, die sicherheitsrelevante Informationen aus verschiedenen IT-Systemen sammelt und zentral auswertet. So können Angriffe und verdächtige Aktivitäten frühzeitig erkannt werden, bevor größerer Schaden entsteht.

Genauer erklärt

Ein SIEM (Security Information and Event Management) ist eine Sicherheitslösung, die Protokolldaten und Ereignisse aus der gesamten IT-Infrastruktur eines Unternehmens sammelt, zusammenführt und analysiert. Zu den Datenquellen gehören beispielsweise Server, Firewalls, Antiviren-Programme, Anwendungen und Netzwerkkomponenten.

Die Kernfunktion eines SIEM ist die Ereigniskorrelation. Dabei werden Daten aus unterschiedlichen Quellen in Echtzeit miteinander in Beziehung gesetzt, um Muster zu erkennen, die auf einen Sicherheitsvorfall hindeuten. Ein einzelnes fehlgeschlagenes Login ist unauffällig, hunderte davon von verschiedenen Systemen aus innerhalb kurzer Zeit deuten jedoch auf einen Angriff hin. Moderne SIEM-Lösungen nutzen oft auch künstliche Intelligenz und Verhaltensanalysen (User and Entity Behavior Analytics, UEBA), um Anomalien zu identifizieren.

Im IT-Grundschutz ist ein SIEM ein zentrales Werkzeug zur Umsetzung der Anforderungen aus dem Baustein DER.1 Detektion von sicherheitsrelevanten Ereignissen (Edition 2023). Es dient der Auswertung der Daten aus einer zentralen Protokollierungsinfrastruktur (Anforderung DER.1.A11), die gemäß Baustein OPS.1.1.5 Protokollierung aufgebaut wird.

Artikel zum Begriff

• Log-Analyse: Angriffe in Protokolldaten erkennenLernen Sie, wie Sie durch Log-Analyse Angriffe in Protokolldaten frühzeitig erkennen. Ein Leitfaden für KMU mit praktischen Schritten nach BSI IT-Grundschutz.
• Protokollierung und MonitoringProtokollierung und Monitoring im Betrieb: welche Ereignisse Sie aufzeichnen, wie Sie sie auswerten und was die BSI-Bausteine OPS.1.1.5 und DER.1 verlangen.