Wie viele Personen sind für den Betrieb eines SIEM erforderlich?

Sie haben sicher schon einmal Witze über Glühbirnen gehört, zum Beispiel:
Wie viele Optimisten braucht man, um eine Glühbirne einzuschrauben? Keine, sie sind davon überzeugt, dass der Strom bald wieder verfügbar sein wird.

Wie viele Leute braucht man also, um ein SIEM zu betreiben?
Lassen Sie mich die Möglichkeiten aufzählen.

Vorausgesetzt, das SIEM wurde ordnungsgemäß installiert und konfiguriert (d. h. entsprechend den gewünschten Anwendungsfällen), sind einige unterschiedliche Fähigkeiten erforderlich (dies kann alles von derselben Person sein, aber das ist ziemlich selten).

SIEM-Administrator: Diese Person kümmert sich um die RUN-Funktion, hält das Produkt im Betriebszustand und überwacht seine Betriebszeit. Zu den weiteren Aufgaben gehören die Bereitstellung von Updates des Anbieters und die Optimierung der Systemleistung. Dies ist in der Regel ein Bruchteil eines Vollzeitäquivalents (FTE). Etwa 4-8 Stunden/Woche für die typische EventTracker-Installation.

Sicherheitsanalyst: Diese Person kümmert sich um die WATCH-Funktion und verwendet EventTracker zur Sicherheitsüberwachung. Im Falle eines Vorfalls überprüft er Aktivitätsberichte und untersucht Warnungen. Abhängig vom Umfang der überwachten Infrastruktur kann dies von einem Bruchteil eines FTE bis zu mehreren FTE reichen. Planen Sie eine Abdeckung an Wochenenden und außerhalb der Geschäftszeiten ein. Die Reaktion auf einen Vorfall erfordert möglicherweise die Benachrichtigung anderer Verwaltungsmitarbeiter.

SIEM-Experte: Diese Person kümmert sich um die TUNE-Funktion, verfeinert/passt die SIEM-Regeln/Inhalte an und erstellt Regeln zur Unterstützung neuer Anwendungsfälle. Diese Funktion erfordert ein Höchstmaß an Fähigkeiten, Vertrautheit mit dem Netzwerk und Fachwissen über das SIEM-Produkt.

Zurück zum (schlechten) Witz:
F. Wie viele Leute braucht man also, um ein SIEM zu betreiben?
A. Keine! Der Verkäufer sagte, es verwaltet sich selbst!