Ihr SIEM sieht nichts und kostet Sie nur Zeit und Geld.

Tobias Mogk

Managing Director, Cyber Resilience

„Wir haben ein SIEM.“ Dieser Satz klingt beruhigend. Aber die entscheidende Frage kommt danach: Was sieht Ihr SIEM eigentlich?

Wie effektiv ist Ihr SIEM eigentlich?

In der Praxis begegnen uns regelmäßig zwei unterschiedliche SIEM-Implementierungen:

• Erstens: SIEMs, die nur grundlegende Alarme abdecken und damit Angriffe nicht detektieren können.
• Zweitens: SIEMs, die überkonfiguriert sind und eine Vielzahl von Fehlalarmen produzieren – 95 Prozent der Alarme sind damit bedeutungslos.

Beides ist ein Problem. Eines kostet die Nerven Ihrer Analysten. Das andere riskiert die Sicherheit Ihres Unternehmens.

Denn ein SIEM ist nur so gut wie die angebundenen Datenquellen und die implementierten Use Cases

Ohne die richtigen Log-Daten – beispielsweise aus der Firewall, dem Active Directory, den Endpoints und so weiter – ist ein SIEM nutzlos. Wenn die Use Cases nicht richtig kalibriert werden, produziert das System entweder Lärm oder es sieht nichts.

Die häufigste Fehlerannahme: Das Out-of-the-Box-Set eines SIEM-Herstellers wird aktiviert und ohne Anpassung übernommen – und deckt damit nicht die Bedrohungslage des Unternehmens ab.

Woran Sie ein funktionierendes SIEM erkennen

• Erstens: Die Auswahl der Datenquellen wird risikobasiert getroffen – Logs aus den relevanten kritischen Datenquellen werden vollständig integriert und enthalten alle Informationen, die notwendig sind, um Sicherheitsanalysen durchzuführen.
• Zweitens: Sinnvolle Use Cases – anstatt generischer Regeln werden spezifische Regeln definiert, die Ihre Bedrohungslandschaft abdecken.
• Drittens: Ein funktionierender Incident-Response-Prozess – eine vollständige Definition aller Handlungen und der daran beteiligten Ansprechpartner, um einen Alarm auszuwerten und den Sicherheitsvorfall final zu schließen.

Wie können wir Ihnen dabei helfen?

Wir führen einen pragmatischen SIEM-Health-Check durch: Welche Logs kommen an, welche fehlen? Welche Use Cases können sinnvoll umgesetzt werden, um Ihre Bedrohungslandschaft abzudecken? Wie können wir die bestehenden Use Cases so kalibrieren, dass weniger Fehlalarme produziert werden und das SIEM am Ende des Tages einen echten Mehrwert liefert?

Was Ihnen das bringt

Sie sehen auf einen Blick, was Ihr SIEM aktuell sieht und was nicht – und erhöhen im Schnelldurchlauf Ihre Detektionsfähigkeit und damit die Resilienz Ihres Unternehmens. Keine große Investition, sondern gezielte Optimierung.