SIEM-Architektur: Log-Erfassung, Parsing und Korrelation

Eine Security-Information-and-Event-Management-Plattform (SIEM) aggregiert Protokolldaten aus der gesamten Infrastruktur eines Unternehmens und analysiert sie auf Anzeichen von Sicherheitsvorfällen. SIEM vereint zwei Funktionen: Security Information Management (SIM) — die Speicherung und Analyse historischer Protokolldaten — und Security Event Management (SEM) — die Überwachung und Alarmierung in Echtzeit. Zusammen bieten sie Sicherheitsteams über eine zentrale Oberfläche einen umfassenden Überblick über die gesamte Umgebung.

Ein SIEM erfasst Protokolle aus unterschiedlichen Quellen: Firewalls und IDS/IPS, Betriebssysteme (Windows Event Logs, Linux syslog), Authentifizierungssysteme (Active Directory, RADIUS, Okta), Endpunkte (EDR-Agents), Cloud-Plattformen (AWS CloudTrail, Azure Activity Log), Anwendungen (Webserver, Datenbanken) und Netzwerkgeräte (Switches, Router, VPN-Gateways). Die Breite der erfassten Daten bestimmt die Erkennungsabdeckung des SIEM.

Unformatierte Protokolle liegen in unterschiedlichen Formaten vor: CEF (Common Event Format), LEEF (Log Event Extended Format), syslog, JSON, Windows XML und proprietären Formaten. Der Parser des SIEM extrahiert strukturierte Felder (Zeitstempel, Quell-IP, Ziel-IP, Benutzer, Ereignistyp) aus dem Rohtext. Die Normalisierung ordnet diese Felder einem einheitlichen Schema zu, sodass Abfragen und Regeln unabhängig vom ursprünglichen Format einheitlich für alle Protokollquellen funktionieren.

Ereigniskorrelation ist der Prozess, bei dem zusammengehörige Ereignisse aus mehreren Quellen kombiniert werden, um Muster zu erkennen, die auf einen Sicherheitsvorfall hindeuten. Ein einzelner fehlgeschlagener Anmeldeversuch ist unauffällig; 50 fehlgeschlagene Anmeldeversuche bei 10 Konten innerhalb von 5 Minuten von derselben IP-Adresse sind ein Brute-Force-Angriff. Korrelations-Engines wenden Regeln mit Zeitfenstern auf Ereignisströme an, gruppieren zusammengehörige Ereignisse und erzeugen Alarme, wenn aus dem Grundrauschen verdächtige Muster hervorgehen.

SIEM-Plattformen gibt es hauptsächlich in zwei Architekturvarianten. On-Premises-SIEMs (Splunk Enterprise, IBM QRadar, ArcSight) bieten vollständige Datenkontrolle, erfordern jedoch erhebliche Infrastruktur und betrieblichen Aufwand. Cloud-native SIEMs (Microsoft Sentinel, Google Chronicle, Elastic SIEM) ermöglichen elastische Skalierung, verringern den Betriebsaufwand und bieten native Integrationen mit Cloud-Diensten. Viele Unternehmen betreiben hybride Architekturen und verwenden ein Cloud-SIEM für Cloud-Protokolle sowie ein On-Premises-SIEM für sensible Daten, die die Umgebung nicht verlassen dürfen.

SIEMs organisieren erfasste Daten nach Protokolltyp oder Zeitraum in Indizes oder Tabellen. Datenpipelines verarbeiten Protokolle vor der Speicherung: Sie filtern Rauschen heraus (beispielsweise Pings von Zustandsprüfungen), reichern Felder an (beispielsweise durch Hinzufügen der Geolokalisierung zu IP-Adressen) und leiten Protokolle mit hohem Volumen in kostengünstigere Speicherebenen weiter. Aufbewahrungsrichtlinien legen fest, wie lange Protokolle gespeichert werden — Compliance-Anforderungen schreiben häufig 12 Monate Online-Speicherung sowie eine zusätzliche Archivierung für 7 Jahre vor.

SIEM-Plattformen verwenden spezialisierte Abfragesprachen zum Durchsuchen von Protokolldaten. Splunk SPL (Search Processing Language) verwendet eine Pipe-basierte Syntax. Microsoft Sentinel verwendet KQL (Kusto Query Language). Elastic verwendet EQL (Event Query Language) und Lucene. Mit diesen Sprachen können Analysten Protokolldaten filtern, aggregieren, verknüpfen und visualisieren, um Vorfälle zu untersuchen und Erkennungsregeln zu erstellen. Die sichere Beherrschung der Abfragesprache des SIEM ist eine zentrale Fähigkeit für Analysten.

Moderne SIEMs integrieren sich in Threat-Intelligence-Plattformen (TIP), um Ereignisse automatisch mit Kontext anzureichern. Wenn ein Ereignis eine IP-Adresse oder einen Domänennamen enthält, prüft das SIEM Threat-Intelligence-Feeds (VirusTotal, AlienVault OTX, kommerzielle Feeds) und ergänzt, ob der Indikator als schädlich bekannt ist, welcher Bedrohungskategorie er angehört und welchen Konfidenzwert er besitzt. Diese Anreicherung beschleunigt die Triage erheblich — Analysten sehen den Kontext, ohne jeden Indikator manuell nachschlagen zu müssen.

SIEM-Dashboards bieten SOC-Teams einen sofortigen Überblick über den Betrieb. Häufige Dashboard-Elemente sind: wichtigste Alarmquellen nach Schweregrad, Trends bei Authentifizierungsfehlern im Zeitverlauf, geografische Karten eingehender Verbindungen, Anomaliewerte der Benutzeraktivität und die Anzahl aktiver Incidents. Dashboards richten sich an unterschiedliche Zielgruppen — Analysten benötigen operative Details, während Manager KPI-Zusammenfassungen wie die mittlere Zeit zur Erkennung (MTTD) und Trends beim Alarmvolumen benötigen.

Alarmmüdigkeit tritt auf, wenn zu viele Fehlalarme Analysten überlasten und dadurch echte Bedrohungen übersehen werden. Das Management von Fehlalarmen in einem SIEM erfordert: Korrelationsregeln abzustimmen, indem Ausschlüsse für bekanntermaßen legitimes Verhalten hinzugefügt werden, Risikobewertungen zur Priorisierung von Alarmen mit hoher Konfidenz zu verwenden, Unterdrückungsregeln zum Ausblenden wiederkehrender harmloser Muster einzurichten und die Kennzahlen zum Alarmvolumen regelmäßig zu überprüfen. Ziel ist ein bewältigbares Volumen aussagekräftiger Alarme, die Analysten gründlich untersuchen können.

Plattformen für Security Orchestration, Automation, and Response (SOAR) lassen sich in SIEMs integrieren, um auf häufige Alarmtypen automatisch zu reagieren. Wenn ein SIEM einen Alarm auslöst, kann SOAR automatisch: die Aktivitäten des Benutzers abfragen, den Compliance-Status des Geräts prüfen, die IP-Adresse in Threat-Intelligence-Daten nachschlagen, die IP-Adresse an der Firewall blockieren, das Benutzerkonto deaktivieren und ein Incident-Ticket erstellen – und das alles innerhalb von Sekunden. SOAR ermöglicht es SOC-Teams, größere Alarmvolumina zu bearbeiten, ohne die Mitarbeiterzahl entsprechend erhöhen zu müssen.

Testen Sie Ihr Verständnis der CompTIA Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: SIEMs aggregieren und normalisieren Protokolle aus verschiedenen Quellen in einem einheitlichen Schema, Ereigniskorrelations-Engines wenden Regeln mit Zeitfenstern an, um Angriffsmuster anhand mehrerer Ereignisse zu erkennen, und die Integration von Threat Intelligence und die SOAR-Automatisierung beschleunigen die Reaktion von Analysten und verringern die Alarmmüdigkeit. Als Nächstes untersuchen wir, wie Sie effektive SIEM-Erkennungsregeln und -alarme schreiben.