Vermeiden Sie Lücken bei der Protokollüberwachung mit ganzheitlicher Abdeckung

Nach Angaben des Ponemon Institute dauert es heute 127 Tage, bis ein Datenverstoß entdeckt wird. Umfassende Sichtbarkeit und Echtzeitanalyse der Geräte- und Anwendungsprotokolldaten ermöglichen eine frühzeitige Warnung vor Cybersicherheitsbedrohungen, bevor Schäden entstehen. Entscheidungsträger in den Bereichen Protokollüberwachung und SIEM (Security Information and Event Management) treffen manchmal kurzsichtige finanzielle Entscheidungen, um Protokollquellen zu reduzieren, und stellen dann fest, dass sich dies auf die Entscheidungsfindung im Bereich Sicherheit und die Reaktion auf Vorfälle auswirkt. Sie können beim Schutz Ihrer Infrastruktur und Vermögenswerte ein Gleichgewicht zwischen fortschrittlicher Bedrohungserkennung, Einfachheit und Erschwinglichkeit herstellen.

Protokollüberwachung 101

Protokolle sind eine entscheidende Informationsquelle für Sicherheitsanalysen wie Bedrohungserkennung, Einbruchserkennung, Compliance, Netzwerksicherheit, Insider-Schwachstellen und Risiken in der Lieferkette. Fast alle Geräte und Anwendungen erzeugen Protokolle. Ein mittelgroßes Unternehmen generiert möglicherweise täglich Millionen von Protokollen, zu viele für eine manuelle Überprüfung und Korrelation. Wir werden oft gefragt: Welche Protokolle sollte ich überwachen? Was sind einige Best Practices für die Protokollverwaltung?

Eine SIEM-Lösung korreliert Rohprotokolldaten für wichtige Sicherheitsanalysen wie Bedrohungserkennung, Einbruchserkennung, Compliance, Netzwerksicherheit, Insider-Schwachstellen und Risiken in der Lieferkette.

Wir empfehlen Ihnen, Protokollquellen zu überwachen, zu denen Infrastrukturgeräte wie Router, Sicherheitsgeräte wie Firewalls, Anwendungsprotokolle, Webserver, Authentifizierungsserver und Clientgeräte wie Laptops gehören. Zu den weiteren Protokollquellen gehören Domänencontroller, Wireless Access Points (WAPs) und IPS/IDS-Tools.

Die Protokollüberwachung ist ein Thema, das sowohl für praxisorientierte IT- und Sicherheitsteams als auch für Geschäftsinteressenten, beispielsweise Führungskräfte, die sich für Risikomanagement interessieren, von Interesse ist.

Überlegungen und Best Practices zur Protokollüberwachung

Hier sind einige wichtige Empfehlungen zur Protokollüberwachung, die Einblick in den Zustand, die Compliance und die Sicherheit Ihrer Systeme, Anwendungen und Benutzer bietet:

• Richten Sie die Protokollverwaltung auf alle Compliance-Anforderungen aus: Stellen Sie fest, ob für Ihr Unternehmen oder Ihre Endbenutzer-Kunden Sicherheits- und Protokollüberwachungsvorschriften gelten, z. B. NIST 800-171 (Auftragnehmer der US-Regierung), HIPAA (Health). Insurance Portability and Accountability Act) oder PCI DSS (Payment Card Industry Data Security Standard). Einige Organisationen betrachten Cybersicherheit und SIEM als eine „Checkbox“-Aktivität und implementieren lediglich die minimalste Protokollierung, wodurch die Sichtbarkeit und Wirksamkeit dieses grundlegenden Sicherheitstools verringert wird.
• Überwachen Sie Protokolle rund um die Uhr: Überprüfen Sie Protokolle in Echtzeit mit einer Kombination aus maschinellem Lernen und der Expertise von SOC-Analysten (Security Operations Center), um Prüfanforderungen zu erfüllen, tatsächliche Bedrohungen zu erkennen und Fehlalarme zu minimieren. Hacker arbeiten nicht von Montag bis Freitag von 8:00 bis 17:00 Uhr, und Sie müssen rund um die Uhr „im Blick“ haben. Kleine und mittlere Unternehmen (KMU), die mit einem Fachkräftemangel im Bereich Cybersicherheit konfrontiert sind, wünschen sich weniger, dafür aber qualitativ hochwertigere Cybersicherheitswarnungen. Ein MSSP (Managed Security Service Provider) kann Ihr Personal und Ihre Fähigkeiten erweitern.
• Achten Sie auf versteckte Kosten: Einige Protokollüberwachungs- und SIEM-Anbieter rechnen nach Datenvolumen ab, beispielsweise nach Ereignissen pro Sekunde (EPS). Variable Preise können dazu dienen, Unternehmen zu benachteiligen, da mehr Protokollquellen und -volumen zu unvorhersehbaren Kosten führen. Suchen Sie stattdessen nach einer SIEM-Lösung mit transparenter Preisgestaltung basierend auf den überwachten Geräten und Systemen.
• Protokolle archivieren: Passen Sie die Protokollspeicherung und -archivierung an die Anforderungen jedes Kundenunternehmens an, z. B. an HIPAA-Compliance-Vorschriften. Die Protokollspeicherung für 365 Tage ist eine branchenweit bewährte Methode, die später wichtige forensische Untersuchungen zur Bestimmung der Auswirkungen von Sicherheitsvorfällen ermöglicht.
• Protokolldaten schützen: Aufgrund ihrer Bedeutung für die Verfolgung interner und externer Bedrohungen müssen Sie die Vertraulichkeit, Integrität und Verfügbarkeit von Protokolldaten schützen. Bedrohungsakteure löschen häufig Protokolldaten, die ihre heimlichen Aktionen preisgeben würden.

Erste Schritte mit Log Management und Managed SIEM

Machen Sie sich bewusst, dass Sie nicht allein sind, wenn Sie Ihre Cybersicherheit verbessern. Sie können Maßnahmen ergreifen, um Cybersicherheitsrisiken und Sichtbarkeitslücken zu minimieren und gleichzeitig Ihre Cybersicherheit in Ihrem eigenen Tempo zu erweitern. Für diejenigen, die ihre Fähigkeiten mit einer verwalteten Sicherheitslösung erweitern möchten, können SOC-as-a-Service (SOCaaS) oder das robustere und flexiblere gemeinsam verwaltete SIEM/SOC einen erweiterten Bedrohungsschutz bieten.

Der erste Schritt besteht darin, als MSP Ereignisprotokolle zu sammeln und zu archivieren, in dem Wissen, dass Angreifer Sie und Ihre Lieferkette im Visier haben. Nutzen Sie einen Crawl-Walk-Run-Ansatz mit EventTracker SIEM von Netsurion, um loszulegen und Ihr Verständnis und Fachwissen auszubauen. Erweitern Sie weiterhin Ihren Reifegrad und Ihre Vertrautheit im Bereich Cybersicherheit mit den umfassenden Berichten und Dashboards.

Erweitern Sie Ihr Cybersicherheitsportfolio mit Netsurion als bewährtem Partner, der den KMU-Markt und die erweiterte Bedrohungsüberwachung versteht. EventTracker SIEM von Netsurion und sein 24/7 SOC werden als verwalteter Service angeboten und ergänzen Ihr Team mit schwer zu findenden Analysten, die es Ihnen ermöglichen, das Risikomanagement und den Infrastrukturschutz zu beschleunigen.

* Den Originalbeitrag finden Sie hier: https://www.msspalert.com/cybersecurity-guests/avoid-log-monitoring-gaps-with-holistic-coverage/