Inhaltsverzeichnis
1. SIEM-Grundlagen
Was ist SIEM?
Security Information and Event Management (SIEM) kombiniert Security Information Management (SIM) und Security Event Management (SEM) für zentrale Sammlung, Korrelation und Analyse von Sicherheitsereignissen.
SIEM Core-Funktionen
Log Collection
Zentrale Sammlung von Logs aus verschiedenen Quellen
Event Correlation
Intelligente Verknüpfung von Security Events
Alerting
Automatische Benachrichtigung bei kritischen Events
Analytics
Statistische Analyse und Anomalieerkennung
Reporting
Compliance und Executive Dashboards
Response
Automatisierte Incident Response Workflows
Führende SIEM-Plattformen
G-Data Security Center
Deutsche SIEM-Lösung mit DSGVO-Compliance
Splunk Enterprise Security
Market Leader mit umfangreichen Analytics
IBM QRadar
KI-basierte Threat Detection
Microsoft Sentinel
Cloud-native Azure SIEM
LogRhythm NextGen
SIEM mit integrierter UEBA
2. SIEM-Architektur & Design
Skalierungsplanung
Planen Sie von Anfang an für Wachstum. Ein typisches Enterprise-SIEM verarbeitet 50.000-200.000 Events pro Sekunde (EPS).
Architektur-Komponenten
Log Sources & Agents
Parsing & Normalization
Hot/Warm/Cold Data
Correlation Engine
High-Level Architecture
┌─────────────────┐ ┌──────────────────┐ ┌─────────────────┐
│ Log Sources │───│ Collectors │───│ SIEM Platform │
├─────────────────┤ ├──────────────────┤ ├─────────────────┤
│ • Firewalls │ │ • Syslog │ │ • Correlation │
│ • Servers │ │ • Agents │ │ • Analytics │
│ • Applications │ │ • APIs │ │ • Dashboards │
│ • Network │ │ • Database │ │ • Alerting │
│ • Cloud │ │ • File Monitoring│ │ • Reporting │
└─────────────────┘ └──────────────────┘ └─────────────────┘
│
▼
┌─────────────────┐
│ SOC Analysts │
├─────────────────┤
│ • Investigation │
│ • Escalation │
│ • Response │
└─────────────────┘Capacity Planning
3. Log-Management
Kritische Log-Quellen
Network Infrastructure
- •Firewall Logs (Accept/Deny)
- •Router/Switch Logs
- •IDS/IPS Alerts
- •DNS Query Logs
- •DHCP Lease Information
Endpoints & Servers
- •Windows Event Logs
- •Linux Syslog (auth, kernel)
- •EDR/Antivirus Logs
- •File Integrity Monitoring
- •Process Execution Logs
Identity & Access
- •Active Directory Logs
- •VPN Connection Logs
- •Multi-Factor Authentication
- •Privileged Access Management
- •Single Sign-On Events
Applications & Cloud
- •Web Server Access Logs
- •Database Audit Logs
- •AWS CloudTrail/Azure Logs
- •Email Security Logs
- •Application Error Logs
Log Normalization
# Beispiel: Syslog Parsing
# Raw Log:
Jan 15 10:30:45 server1 sshd[1234]: Failed password for admin from 192.168.1.100
# Normalisiertes Event:
{
"timestamp": "2024-01-15T10:30:45Z",
"source_host": "server1",
"source_ip": "192.168.1.100",
"event_type": "authentication_failure",
"service": "ssh",
"user": "admin",
"action": "login_failed",
"severity": "medium"
}4. Detection Use Cases
High-Priority Use Cases
Brute Force Attacks
Erkennung von wiederholten Anmeldeversuchen innerhalb kurzer Zeit
IF (failed_logins > 5 AND timespan < 5min) THEN ALERTLateral Movement
Ungewöhnliche interne Netzwerkverbindungen und Privilege Escalation
IF (new_admin_account OR unusual_network_scan) THEN ALERTData Exfiltration
Große Datenmengen zu ungewöhnlichen Zeiten oder Zielen
IF (data_transfer > baseline_x10 AND time = after_hours) THEN ALERTBehavioral Analytics
User Behavior Analytics (UBA)
- • Ungewöhnliche Anmeldezeiten
- • Neue Geräte/Standorte
- • Abweichende Datenzugriffe
- • Privilege Changes
Entity Behavior Analytics (EBA)
- • Server-Performance Anomalien
- • Netzwerk-Traffic Patterns
- • Application Response Times
- • DNS Query Anomalien
MITRE ATT&CK Mapping
5. Security Operations Center (SOC) Aufbau
SOC vs. SIEM
Ein SOC ist das Team und der Prozess, während SIEM die Technologie ist. Ein effektives SOC benötigt Menschen, Prozesse und Technologie.
SOC-Rollen & Verantwortlichkeiten
L1 - SOC Analyst
- • Alert Monitoring
- • Initial Triage
- • Ticket Creation
- • Basic Investigation
L2 - Security Analyst
- • Deep Investigation
- • Forensic Analysis
- • Correlation Analysis
- • Escalation Decisions
L3 - Senior Analyst
- • Complex Investigations
- • Threat Hunting
- • Use Case Development
- • Incident Response
SOC Processes & Playbooks
Standard Operating Procedures (SOPs)
Alert Handling
- Alert Receipt & Acknowledgment
- Initial Assessment (5 min)
- Data Collection & Context
- Impact Assessment
- Escalation Decision
- Documentation & Closure
Incident Response
- Incident Declaration
- Team Assembly
- Containment Actions
- Evidence Collection
- Eradication & Recovery
- Lessons Learned
24/7 Operations Model
# Follow-the-Sun Modell
┌─────────────┬─────────────┬─────────────┐
│ EMEA │ Americas │ APAC │
│ 08:00-20:00│ 08:00-20:00│ 08:00-20:00│
├─────────────┼─────────────┼─────────────┤
│ Primary SOC │ Primary SOC │ Primary SOC │
│ Frankfurt │ New York │ Singapore │
└─────────────┴─────────────┴─────────────┘
# Schichtmodell
- Frühschicht: 06:00 - 14:00
- Spätschicht: 14:00 - 22:00
- Nachtschicht: 22:00 - 06:00
- Wochenende: 12h Schichten
# Eskalationsmatrix
L1 → L2 (Complex Events)
L2 → L3 (Critical Incidents)
L3 → CISO (Major Incidents)6. SOC KPIs & Metriken
Operational Metrics
Quality Metrics
False Positive Rate
Ziel: Minimierung von Fehlalarmen
Alert Closure Rate
Vollständige Bearbeitung
Escalation Rate
L1 zu L2 Weiterleitung
Business Metrics
Cost per Event
ROI Calculation
Thalvos Cloud Managed SOC Services
Als zertifizierte G-Data Security Partner bieten wir professionelle 24/7 Security Monitoring Services mit deutschen Sicherheitsstandards.