Erschienen in:
P. Schartner, P. Lipp. „DACH Security 2015“, syssec (2015)
Titel:
Incident Response im SIEM-Kontext – Ein Erfahrungsbericht
Auszug:
Unternehmen und Organisationen aller Größen sind ständig den verschiedensten Angriffen auf IT-Systeme ausgesetzt, die zunehmend zielgerichtet durch professionelle Angreifer mit klaren finanziellen Absichten erfolgen. Die Angriffe erfolgen mit zunehmender Geschwindigkeit, jedoch vergeht zwischen dem ersten Eindringen in das Netzwerk bis zur Exfiltration der wertvollen Informationen Zeit, in der der Angreifer oft eine Vielzahl einzelner Spuren hinterlässt. Security Information and Event Management (SIEM)-Systeme erlauben es, aus diesen Spuren Sicherheitsvorfälle und laufende Angriffe in nahezu Echtzeit zu erkennen. Durch umgehend und konsequent ausgeführte Gegenmaßnahmen lassen sich Schwachstellen schließen, laufende Angriffe stoppen und der resultierende Schaden effektiv begrenzen. Optimal wäre ein 24×7-Betrieb, den die meisten Unternehmen wegen des notwendigen Personaleinsatzes scheuen und eher vollständig auf den Einsatz eines SIEM-Systems und den daraus resultierenden Sicherheitsgewinn verzichten. Durch verschiedene technische und organisatorische Maßnahmen wie die Mitnutzung bestehender 24×7-Betriebsmitarbeiter, Managed Services und Automatisierung ausgewählter Gegenmaßnahmen lässt sich der Personalbedarf jedoch soweit reduzieren, dass die Idealvorstellung annähernd erreicht werden kann.
