Ist der ELK Stack ein SIEM?

Der ELK-Stack (Elasticsearch, Logstash, Kibana) ist eine beliebte Open-Source-Protokollanalyse- und -verwaltungsplattform. Unter dem Begriff „Log-Management“ werden das Sammeln, Verarbeiten, Normalisieren, Anreichern und Speichern von Log-Daten aus unterschiedlichen Quellen zusammengefasst. „Es ist eine notwendige Komponente in jeder SIEM-Lösung (Security Information and Event Management), aber allein nicht ausreichend.“ Der ELK-Stack kann so konfiguriert werden, dass er alle diese Funktionen ausführt, aber es erfordert einiges an Arbeit, ihn einzurichten, und eine völlig andere Herausforderung, seine Ausgabe zu überwachen. Und da Open Source den bestmöglichen Preis hat, sind einige zunächst von dem Potenzial großer Leistung zum Nulltarif fasziniert.

Bausteine für SIEM

Es gibt viele notwendige Komponenten, um eine SIEM-Lösung zu erstellen. Denken Sie an das Sprichwort: Es zählt nicht, was Sie haben, sondern was Sie damit machen.

Protokollerfassung: Aggregieren Sie Daten aus mehreren Datenquellen, einschließlich Anwendungen, der Infrastruktur (z. B. Server, Datenbanken), Sicherheitskontrollen (z. B. Firewalls, VPNs), Netzwerkinfrastruktur (z. B. Router, DNS) und Externe Sicherheitsdatenbanken (z. B. Bedrohungs-Feeds). Mit einer Kombination aus Beats und Logstash können Sie eine Protokollierungsarchitektur aufbauen, die aus mehreren Datenpipelines besteht. Nichts für schwache Nerven, aber es ist machbar.

Protokollverarbeitung: Alle diese Datenquellentypen generieren Daten in unterschiedlichen Formaten. Protokolle müssen normalisiert werden, um die Daten durchsuchen und analysieren zu können. Bei diesem Normalisierungsprozess werden die verschiedenen Protokollmeldungen in aussagekräftige Feldnamen zerlegt, die Feldtypen korrekt zugeordnet und bei Bedarf bestimmte Felder angereichert. Ohne Protokollanalyse gibt es keine Bedeutung und keine umsetzbaren Erkenntnisse. Sie können die Protokollanalyse mit Logstash durchführen, das viele verschiedene Filter-Plugins unterstützt. Logstash kann beispielsweise auch Ihre Protokolle aufteilen, bestimmte Felder mit geografischen Informationen anreichern, Felder löschen und Felder hinzufügen. Bringen Sie einfach Fachwissen und viel Zeit zum Optimieren und Korrigieren ein.

Speicherung und Aufbewahrung: Index für schnelle Suche, Aufbewahrung für forensische und Compliance-Zwecke, damit Sie im Laufe der Zeit größere Datenmengen verarbeiten können. Denken Sie an Skalierbarkeit, Ausfallsicherheit, Bewältigung von Verbindungsabbrüchen und Datenspitzen. Fügen Sie einfach Fachwissen und Zeit hinzu, viel Zeit. ELK führt keine Protokollarchivierung durch, sodass die Verantwortung bei Ihnen liegt. Beachten Sie, dass Compliance-Frameworks wie PCI DSS (Payment Card Industry Data Security Standard) und HIPAA (Health Insurance Portability and Accountability Act) häufig eine Protokollarchivierung von 365 Tagen oder mehr erfordern.

Abfragen : Sobald Ihre Daten in Elasticsearch gesammelt, analysiert und indiziert wurden, besteht der nächste Schritt darin, die Daten abzufragen. Mit Protokollabfragen können Sie eine forensische Untersuchung früherer Sicherheitsvorfälle durchführen. Sie können dies mit Kibana mithilfe der Lucene-Syntax tun. Du kennst doch Lucene, oder?

Dashboards: Kibana unterstützt eine breite Palette verschiedener Visualisierungstypen und ermöglicht es Benutzern, ihre Daten nach Belieben aufzuteilen und zu teilen. Sie können Kreisdiagramme, Diagramme, geografische Karten, einzelne Metriken, Datentabellen und mehr erstellen, um Ihren Nutzen zu steigern. Das alles ist natürlich kompliziert und erfordert genaue Kenntnisse Ihrer Daten und der verschiedenen Felder, aus denen die Protokollmeldungen bestehen. Da ELK über keine rollenbasierte Zugriffskontrolle (RBAC) verfügt, sieht jeder Benutzer alles. Wenn Sie RBAC wünschen, müssen Sie X-Pack erlernen und verwenden.

Korrelation: Die Verbindung von Signalen, die von verschiedenen Datenquellen in einem Muster eingehen, könnte auf eine Sicherheitsverletzung hinweisen. Eine Korrelationsregel definiert die spezifische Abfolge von Ereignissen, die dieses Muster bilden. Im ELK-Stack gibt es so etwas nicht. Es liegt nun an Ihren Sicherheitsanalysten, Kibana-Abfragen zu verwenden, die auf der mit Logstash durchgeführten Analyse und Verarbeitung basieren, um eine Korrelation zwischen Ereignissen herzustellen. Angesichts des heutigen Ressourcen- und Fachkräftemangels im Bereich Cybersicherheit kann es eine Herausforderung sein, Personal zu finden und zu halten.

Warnungen: Der ELK Stack wird in seiner Open-Source-Form nicht mit einem integrierten Mechanismus zur Warnung bei verdächtigen Aktivitäten ausgeliefert. Um diese Funktion zu aktivieren, müssen Sie den ELK-Stack mit einem Alarmierungs-Plugin oder -Add-on erweitern. Andere Tools wie X-Pack oder ElastAlert werden benötigt und es wird mehr Zeit für die Einrichtung, Konfiguration und Wartung benötigt.

Incident Management: Wie gut Sie mit der Problemerkennung und der Analystenalarmfunktion umgehen, bestimmt den tatsächlichen Return on Investment (ROI) von SIEM. Der ELK-Stack ist nützlich, wenn es darum geht, Ihre internen Analysten bei der Identifizierung eines Cybersicherheitsereignisses zu unterstützen. Ohne Empfehlungen zur Behebung von Cybersicherheitslücken verfügt der ELK-Stack nicht über viele Funktionen für das Vorfallmanagement.

Ist der ELK-Stack also ein SIEM? Nein, genau wie Holz, Nägel und eine Kreissäge im Baumarkt keine Hinterhofterrasse sind. ELK verfügt über die Möglichkeit einer zentralisierten Protokollierung; aber in Rohform ist es kein SIEM. Es handelt sich um ein Do-It-Yourself-Tool (DIY) für diejenigen, die über das Personal, die Fähigkeiten und die Geduld verfügen, selbst eine Lösung zu entwickeln. Netsurion kann Unternehmen, die eine schnelle Bereitstellung und Ergebnisse wünschen, mit umfassendem SOC-as-a-Service (SOCaaS) von einem preisgekrönten SIEM-Anbieter unterstützen.

Wie wir helfen

Organisationen, die ihre SIEM-Reise begonnen haben, befinden sich häufig an einem von zwei Orten:

1. Zu wenig investiert in die Erstimplementierung, vorausgesetzt, dass sie über das Personal und die Fähigkeiten verfügen, die für eine DIY-Implementierung erforderlich sind, und nicht den erhofften Nutzen erzielen, oder
2. Überlizenziert mit einer aufgeblähten SIEM-Lösung und über viele Jahre hinweg gezwungen, höhere Wartungskosten für diese ungenutzte Kapazität zu zahlen

Wir filtern das „Rauschen“ der Rohprotokolle heraus, um Ihre betriebliche Effektivität zu steigern und es Ihnen zu ermöglichen, sich auf Vorfälle und verdächtige Aktivitäten mit der höchsten Priorität zu konzentrieren.

Das von EventTracker gemeinsam verwaltete SIEM bietet diese robusten Funktionen sofort einsatzbereit:

• 24/7 Security Operations Center (SOC), das mithilfe des SANS Incident Handler Guide an Ihr Team eskaliert
• Bedrohungssuche und schnelle Suche mit Elasticsearch innerhalb von EventTracker SIEM
• Umsetzbare Informationen, um echte Angriffe an Sie weiterzuleiten, nachdem Fehlalarme eliminiert wurden
• Maschinelles Lernen, das Korrelationsregeln beschleunigt, um verdächtige Aktivitäten zu identifizieren, wenn jede Minute zählt
• 400 Tage Protokollarchivierung sind bei EventTracker Standard

Netsurion ermöglicht Transparenz und Korrelation bei einfacher Implementierung. Und da es gemeinsam verwaltet wird, verstärken wir Ihr Personal, um den Personal- und Fachkräftemangel in den Bereichen IT und Sicherheit zu beheben.