Ein SIEM sammelt Protokolle aus vielen Systemen und korreliert Ereignisse, damit Analytiker Muster sehen, die eine Konsole verfehlen würde.
Seine Aufgabe ist das Sammeln, Speichern und Verknüpfen von Belegen, während eine andere Produktfamilie die Reaktionshandlungen orchestriert.
So funktioniert es
Quellen dafür sind Anmeldesysteme, Firewalls, Endpunkte und Anwendungen.
Regeln und Suchen erzeugen Alarme, wenn Ereignisse zusammenpassen, etwa ein neues Adminkonto und danach ungewöhnlicher Datenzugriff.
Ein volles Archiv ohne Fragen ist nur Speicher.
Analytiker brauchen Erkennungen, die an echten Missbrauch gebunden sind, Aufbewahrung, die zur Untersuchung passt, und eine Übergabe, wenn ein Alarm den Vorfallablauf oder ein automatisches Playbook anderswo verdient.
Konkrete Beispiele
- Fehlgeschlagene Desktop Anmeldungen aus vielen Ländern erscheinen neben einer erfolgreichen Anmeldung eine Stunde später.
- Eine Firewall Freigabe und ein Anwendungsexport landen in einem Fall, weil sie dasselbe Konto teilen.
- Eine stille Protokollquelle fällt auf, weil die Tagesmenge auf null fiel, nachdem ein Agent stoppte.
Schutzmaßnahmen
- Senden Sie die Protokolle, die Sie bei einem Bruch bräuchten, und verwerfen Sie Lärm, den niemand je suchen wird.
- Schreiben Sie Erkennungen für konkrete Geschichten und prüfen Sie sie, wenn Angreifende die Vorwände ändern.
- Halten Sie das Archiv auf Systemen, die die überwachten Rechner nicht ändern können, mit einer Aufbewahrung, die Sie erklären können.
- Geben Sie bestätigte Fälle an die Reaktion oder an ein Orchestrierungs Playbook, statt sie in einer Warteschlange zu lassen.