Wie helfen SIEM-Lösungen bei der Eindämmung von Advanced Persistent Threats (APT)?
„Die Tatsache, dass ein Unternehmen einen Verstoß nicht bemerkt hat, bedeutet nicht, dass es keinen Verstoß gegeben hat“ - itgovernance.co.uk
Ein APT ist eine Art von Malware, die Social Engineering oder verschiedene Phishing-Techniken nutzt, um sich Zugang zu einem Netzwerk zu verschaffen. Sobald sich die Malware Zugang verschafft hat, versteckt sie sich in unverdächtigen Dateien, wo sie wochen-, monate- oder sogar jahrelang unentdeckt bleiben kann. In dieser Zeit ist es möglich, sensible Daten zu stehlen oder zu kompromittieren.
Solche Angriffe sind schwer abzuwehren, da herkömmliche Sicherheitstools wie Antivirensoftware, Firewalls und IPS/IDS nicht in der Lage sind, sie zu erkennen. Daher sind neue Lösungen erforderlich.
Cyber-Angriffe entwickeln sich rasant weiter und werden vielfältiger. Sie werden gezielter, verdeckter und hartnäckiger. Täglich werden mehr als 100.000 neue Arten von Malware entdeckt, und laut einem Bericht von Fireeye dauert es durchschnittlich 205 Tage, bis Unternehmen bemerken, dass sie kompromittiert wurden. Das ist eindeutig viel zu lang. Die meisten Angriffe erfolgen über Phishing-E-Mails, die sich als die IT-Abteilung oder den Antiviren-Anbieter eines Unternehmens ausgeben. Als Folge dieser neuen Welle raffinierter Angriffe kam es zu einem Wandel hin zu einem neuen Ansatz, der sich auf Echtzeit-Bedrohungserkennung, automatisierte Bedrohungsreaktion und fortschrittliche Datenanalyse konzentriert.
Was ist Advanced Threat Protection (ATP)?
Nicht zu verwechseln mit APT (wie oben erwähnt): Advanced Threat Protection (ATP) ist eine Kategorie von Sicherheitslösungen, die darauf ausgelegt sind, Angriffe abzuwehren, die auf sensible Daten abzielen. Solche Lösungen sind entweder als Software oder als Managed Services verfügbar. Sie umfassen typischerweise eine Kombination aus Endpunkt- und Geräteüberwachung, E-Mail-Sicherheits-Gateways und einer zentralen Verwaltungskonsole, die Protokolldaten aus mehreren Quellen zusammenfasst und Warnungen und Berichte auf der Grundlage wichtiger Systemereignisse bereitstellt.
SIEM und seine Nachteile
Selbst wenn Sicherheitsinformations- und Ereignismanagementlösungen bei verdächtigen Aktivitäten warnen, die möglicherweise mit einem Cyberangriff in Zusammenhang stehen, werden dabei große Mengen an Prüfprotokollen gesammelt, und Administratoren müssen diese durchsuchen, um das genaue Ereignis zu finden, bei dem es sich um einen Cyberangriff handelt /er wurde benachrichtigt. Es müssen große Datenmengen verarbeitet werden, und Administratoren haben meist keine Ahnung, wo sie nach einem kritischen Ereignis suchen sollen.
Obwohl SIEM-Lösungen hilfreich sein können, sind sie nicht ohne Nachteile. Es ist wichtig, dass Sie sowohl die Vor- als auch die Nachteile der Bereitstellung einer SIEM-Lösung berücksichtigen. Einige der Nachteile sind wie folgt:
1. Aus der Datenanalyse, die Sie von einer SIEM-Lösung erhalten, lässt sich nur sehr schwer eine wirkliche Bedeutung ableiten. Es enthält viel zu viel Rauschen und kann sehr schwer zu verstehen sein.
2. SIEM-Lösungen stellen Unternehmen nicht unbedingt die Prüfdaten zur Verfügung, die sie zur Einhaltung gesetzlicher Vorschriften oder zur Gewährleistung der IT-Sicherheit benötigen. Es ist schwierig, eine SIEM-Lösung zu verwenden, wenn Sie schnell die notwendigen Daten finden möchten, um beispielsweise die PCI-Konformität einzuhalten. SIEM-Berichte müssen manchmal für nicht-technisches Personal oder externe Aufsichtsbehörden angepasst werden.
3. SIEM-Lösungen sind teuer. Mit der Bereitstellung von SIEM-Lösungen und der Schulung des Personals für deren Betrieb sind erhebliche Kosten verbunden.
Gibt es eine Alternative?
Eine Möglichkeit für viele Unternehmen, die Einschränkungen von SIEM-Lösungen zu überwinden und sich einen besseren Einblick in kritische Veränderungen in ihrem Unternehmen zu verschaffen, ist die Lepide Data Security Platform.
Mit der Lepide Data Security Platform können Unternehmen Änderungen an ihren kritischen Daten und Systemen erkennen, melden und darauf reagieren. Es ermöglicht ihnen, Berechtigungsänderungen, Änderungen und Löschungen von Benutzerkonten, inaktive Benutzerkonten, fehlgeschlagene Anmeldeversuche und privilegierten Postfachzugriff zu verfolgen und erinnert Sie an das Zurücksetzen von Passwörtern und wenn Passwörter ablaufen. Darüber hinaus ist es in der Lage, Echtzeitwarnungen und über 270 voreingestellte Berichte zu generieren, die zur Erfüllung regulatorischer Anforderungen verwendet werden können. Es hilft Unternehmen dabei, den mit SIEM-Lösungen verbundenen Lärm zu überwinden und liefert ihnen sofort umsetzbare Berichte für alle Arten von Sicherheits-, IT-Betriebs- und Compliance-Herausforderungen.