Erklärung
SIEM steht für „Security Information and Event Management“. Ein solches System nimmt Protokolle von Servern, Firewalls, Endgeräten, Cloud-Diensten und Anwendungen entgegen, normalisiert sie in ein einheitliches Format, speichert sie und wertet sie nach Regeln und Mustern aus. Ein Beispiel ist die Regel „viele fehlgeschlagene Anmeldungen, danach eine erfolgreiche aus demselben Netz“.
Für die Forensik ist ein SIEM wertvoll, weil Daten zentral und meist geschützt aufbewahrt werden und so auch dann verfügbar bleiben, wenn ein einzelnes System manipuliert oder zerstört wurde. Die Qualität hängt davon ab, welche Quellen angebunden sind, wie lange gespeichert wird und wie sorgfältig Regeln gepflegt werden. Ein SIEM ersetzt keine Analyse durch Fachleute und erzeugt bei schlechter Abstimmung viele Fehlalarme.
Für kleinere Organisationen gibt es einfachere Formen zentraler Protokollierung. Ob ein vollständiges SIEM sinnvoll ist, richtet sich nach Größe, Risiko und Ressourcen.
Typisches Beispiel (schematisch)
Nach einem Sicherheitsvorfall zeigt das SIEM, dass ein Konto zunächst von mehreren Adressen ausprobiert und dann erfolgreich genutzt wurde. Die Zeitlinie lässt sich aus den zentral gespeicherten Daten rekonstruieren.
Bedeutung für Forensik und Ermittlungen
Zentral gespeicherte Protokolle sind für die Aufarbeitung besonders hilfreich. Zu klären ist, welche Quellen angebunden waren und welche Lücken bestehen.
Erkennung und Prävention
Auswahl der Quellen nach Risiko, definierte Aufbewahrungsfristen, Schutz vor Veränderung und regelmäßige Prüfung der Regeln.
Auch gesucht als Security Information and Event Management, SIEM-System, Log-Management, zentrale Protokollierung, Sicherheitsüberwachung