Kurzfassung
Eine SIEM-Plattform (Security Information and Event Management) sammelt Sicherheitsereignisse aus der gesamten Umgebung, normalisiert und korreliert sie und liefert Alarme sowie Dashboards, die Angriffe, Policy-Verstöße und Anomalien hervorheben.
Was ist ein SIEM?
SIEM-Plattformen sitzen im Zentrum eines Security Operations Center (SOC). Sie sammeln Logs und Events von Servern, Endpoints, Firewalls, Identity Providern, Mesh-VPNs, Cloud-Accounts und Anwendungen. Innerhalb des SIEM werden Events in ein gemeinsames Schema gebracht, mit Threat-Intelligence und Asset-Kontext angereichert und gegen Detection-Regeln ausgewertet.
Zwei Entwicklungen prägen den Markt: SOAR (Security Orchestration, Automation, and Response) verbindet das SIEM mit Response-Playbooks, XDR (Extended Detection and Response) koppelt SIEM-Korrelation enger an Endpoint-Telemetrie. Moderne Infrastrukturwerkzeuge kooperieren über Event-Streaming-Endpunkte mit dem SIEM – NetBird beispielsweise liefert Login-, Policy- und Verbindungs-Events, die sich direkt ins Kunden-SIEM weiterleiten lassen.
Operativ wird ein SIEM weniger an seinen Produktfeatures gemessen als an der Qualität der Detection-Inhalte und der Disziplin des betreibenden Teams. Gute Praxis verlangt sorgfältige Log-Auswahl, abgestimmte Regeln, regelmäßiges Threat Hunting und klare Incident-Response-Workflows, die Alarme mit Handlungen verbinden.
Warum ist ein SIEM relevant?
- Detection: Macht Angriffe sichtbar, die einzelne Sensoren übersehen würden
- Compliance: Von NIS2, DORA, ISO 27001 und PCI-DSS erwartet oder vorgeschrieben
- Forensik: Zentrale, normalisierte Logs beschleunigen die Aufklärung nach Vorfällen
- SOC-Enabler: Basis, auf der SOAR-Playbooks und Threat-Hunting-Workflows aufsetzen
Verwandte Begriffe
- ISO 27001: Standard, der Monitoring- und Detection-Fähigkeiten wie ein SIEM erwartet
- NIS2 Directive: Regulierung, die Erkennung und Meldung von Vorfällen vorgibt
- Access Control List: ACL-Events sind häufige SIEM-Eingaben für Detection
- Zero Trust: Liefert identitätsbewusste Events, die SIEMs gut korrelieren
- Device Posture: Posture-Änderungen sind wertvolle Signale für Detection-Regeln