Wenn ein SIEM wie ein Trainingsgerät ist, das in Ihrer Garage festsitzt
Von Randy Franklin Smith
Ich bin ein großer Verfechter von Sicherheitsanalysen und detektivischen Kontrollen im Allgemeinen. Zumindest manchmal entgehen Bösewichte Ihren präventiven Kontrollen, und Sie benötigen die kritischen Tiefenverteidigungsebenen, die detektivische Kontrollen durch Überwachungsprotokolle und alle anderen Informationen bieten, die ein modernes SIEM verbraucht. Noch besser ist es, wenn Sie mit der Bedrohungsjagd in die Offensive gehen und dabei den Kampf zum Feind führen, anstatt passiv abzuwarten.
Aber ein SIEM ist wie ein Trainingsgerät. Wenn niemand es regelmäßig und intensiv nutzt, kann es das beste Trainingsgerät der Welt sein, aber Sie werden weder stärker werden noch Gewicht verlieren.
Und der Vergleich mit dem Trainingsgerät bringt Sie nur bedingt weiter, weil er nicht den Bedarf an hochqualifizierten Spezialisten verdeutlicht. Vielleicht ist es eine bessere Analogie, die unzähligen Sensoren, passiven und aktiven Überwachungssysteme auf einem Flugzeugträger zu vergleichen. All diese Technologie nützt nicht viel, wenn nicht rund um die Uhr ein Spezialistenteam da ist, das die Daten interpretiert und die Bedrohungslage an den diensthabenden Beamten weiterleitet. Es sind nur ein paar hübsche blinkende Lichter und Bildschirme.
Ebenso benötigt ein SIEM ein SOC. Aber wie viele kleine und mittlere Unternehmen verfügen wirklich über das Team, die Ressourcen und die Fähigkeiten, die erforderlich sind, um zu überwachen, zu analysieren und zu untersuchen, was Ihr SIEM Ihnen sagt - wann? Wenn Sie wie ich sind, verfügen Sie vielleicht über die nötigen Fähigkeiten, haben aber sicherlich keine Zeit, sich jeden Tag ein paar Minuten lang ein SIEM anzuschauen, und wir sind auch nicht groß genug, um rund um die Uhr ein SOC zu betreiben.
Vielleicht begnügen Sie sich also damit, die Rauschsperre hochzudrehen und sich vom SIEM nur auf die verdächtigsten Ereignisse aufmerksam machen zu lassen, und versuchen, jeden Tag einen Blick auf das Dashboard zu werfen. Zumindest sammeln Sie Protokolle für den Fall, dass etwas passiert - oder?
Mit diesem Ansatz ist es jedoch unwahrscheinlich, dass Vorfälle rechtzeitig erkannt werden, um den Schaden zu begrenzen. Das ist frustrierend, weil kleine Unternehmen genauso stark von Cyber-Bedrohungen bedroht sind wie große Unternehmen, aber wir können die Größenvorteile nicht nutzen, um die Sicherheit richtig zu gestalten.
Oder können wir? Die Lösung für KMU ist die gleiche wie für große Unternehmen - Nutzung von Skaleneffekten - der Unterschied liegt jedoch in der Art und Weise, wie diese Skaleneffekte erzielt werden. Große Unternehmen haben die Waage im eigenen Haus. Die Organisation ist groß genug, um die Finanzierung und den Betrieb eines internen SOC zu rechtfertigen.
Aber kleine Unternehmen können sich zusammenschließen, um diese Größenvorteile zu erzielen. Wir sprechen hier nicht von einer Art Sicherheitskooperation - obwohl das eine interessante Idee ist. Wir sprechen hier von Sicherheitsüberwachung als Dienstleistung. Anstelle oder zusätzlich zur Implementierung eines lokalen SIEM arbeiten einige Organisationen mit Dienstanbietern zusammen, um die Vorteile eines SOC zu nutzen. Es ist fast wie ein Teileigentumsplan für Firmenjets, nur besser. Der Jet ist möglicherweise verfügbar, wenn Sie ihn benötigen.
Aber mit SIEM-as-a-Service erhalten Sie immer noch die gesamte Leistung, Flexibilität und Sicherheit eines lokalen SIEM. Sie können das SIEM so oft nutzen und nutzen, wie Sie Zeit und Ressourcen haben - um Ihre eigene Überwachung und Bedrohungssuche durchzuführen, basierend auf Ihren detaillierten Kenntnissen Ihrer Organisation und Ihres Netzwerks. Aber zusätzlich zu Ihren Bemühungen werden Sie von einem SOC-Betrieb rund um die Uhr unterstützt, der Ihr SIEM überwacht und für dessen Pflege und Versorgung sorgt. Wenn Sie mit anderen Projekten, Vorfällen und Untersuchungen beschäftigt sind, müssen Sie sich keine Sorgen machen, dass niemand an den Kontrollen ist.
Dies ist wichtig, da die Sicherheitsüberwachung und Ihr SIEM nur einen Bruchteil von allem anderen ausmachen, woran ein kleines oder ereignisreiches Sicherheitsteam aus einer Person arbeiten muss.
Event Tracker bietet dies beispielsweise in seiner SIEM as a Service-Lösung SIEMphonic an. Ihr Angebot umfasst SIEM, Intrusion Detection, Vulnerability Scanning, Threat Intelligence und HoneyNet-Täuschungstechnologie, die entweder vor Ort oder in der Cloud implementiert werden. Experten im nachrichtendienstlichen SOC des Unternehmens sorgen rund um die Uhr für Remote-Verwaltung und -Analysen.