10 SIEM-Anwendungsfälle in einer modernen Bedrohungslandschaft

5 Möglichkeiten, wie SIEMs bei der PCI-Konformität helfen können:

1. Perimetersicherheit –Erkennen nicht autorisierter Netzwerkverbindungen und Korrelieren mit dem Änderungsmanagement, Suchen nach unsicheren Protokollen und Diensten und Überprüfen des Datenverkehrsflusses über die DMZ.
2. Benutzeridentitäten –Überwachung aller Ereignisse, die zu Änderungen an Benutzeranmeldeinformationen und Aktivitäten von gekündigten Benutzern führen
3. Bedrohungserkennung in Echtzeit –Überwachung von Antivirenprotokollen, Überwachung unsicherer Ports und Dienste und Korrelation mit Bedrohungsinformationen.
4. Produktions- und Datensysteme –Suche nach Dev/Test- oder Standardanmeldeinformationen, Replikaten usw. auf Produktionssystemen.
5. Auditing und Reporting –Sammeln von System- und Sicherheitsprotokollen, einschließlich spezifischer PCI-Protokollierungsanforderungen, deren Prüfung in einem für das PCI-Reporting geeigneten Format und Erstellen von Compliance-Berichten.

5 Möglichkeiten, wie SIEMs bei der Einhaltung der DSGVO helfen können

1. Datenschutz durch Technikgestaltung –Überprüfung und Auditierung von Sicherheitskontrollen, um nachzuweisen, dass Benutzerdaten angemessen behandelt wurden.
2. Einblick in Protokolldaten –Bereitstellung eines strukturierten Zugriffs auf Protokollinformationen, um die Berichterstattung an einzelne Dateneigentümer zu ermöglichen.
3. DSGVO-Protokollierung und -Überwachung –Überwachung kritischer Änderungen an Anmeldeinformationen, Sicherheitsgruppen usw.; Überprüfung von Datenbanken und Servern, auf denen personenbezogene Daten gespeichert sind, und automatische Verfolgung von Assets, auf denen vertrauliche Daten gespeichert sind.
4. Benachrichtigung bei Datenschutzverletzungen –Erkennen von Datenschutzverletzungen, Alarmieren des Sicherheitspersonals, Analysieren des Vorfalls, um die vollständigen Auswirkungen aufzudecken, und schnelles Erstellen detaillierter Berichte gemäß den Anforderungen der DSGVO.
5. Aufzeichnung der Datenverarbeitung–Identifizieren von Ereignissen im Zusammenhang mit personenbezogenen Daten, Überprüfen aller Änderungen an den Daten und Erstellen von Berichten gemäß den Anforderungen der DSGVO.

9 Möglichkeiten, wie SIEMs bei der Einhaltung des HIPAA helfen können

1. Sicherheitsmanagement–Entdecken neuer IT-Assets, Identifizieren gefährdeter Systeme, Überwachen des Zugriffs auf Systemdateien, Benutzeraktivitäten und Berechtigungen in kritischen Systemen
2. Mitarbeiterzugriff –Überwachung des Zugriffs auf kritische Dateien und Daten, Erfassung von Anmeldeversuchen und Anmeldungen von gekündigten Benutzern.
3. Informationszugriffsverwaltung –Identifizierung von Anmeldeerfolgen und -fehlern, Rechteerweiterung und Änderung von Benutzerkonten.
4. Sicherheitsbewusstsein –Erkennen von Schwachstellen und Malware, Erkennen von Systemen ohne Virenschutz, Überwachen der Anmeldung bei Sicherheitsgeräten und kritischen Systemen.
5. Sicherheitsvorfälle –Automatische Erkennung von Bedrohungen, Generierung und Priorisierung von Warnungen, Ermöglichung der Untersuchung von Bedrohungen und Orchestrierung automatisierter Reaktionen auf Vorfälle.
6. Zugriffskontrolle –Überwachung von Änderungen an Anmeldeinformationen und Berechtigungen, Sitzungstimeouts und Änderungen an Verschlüsselungseinstellungen.
7. Audit-Kontrollen –Überwachung von Richtlinienänderungen, Data Leakage Protection (DLP)-Ereignissen, Dateiintegrität und Protokollanalyse für geschützte Daten.
8. Datenintegrität–Überwachung der Änderung von Gesundheitsinformationen und Änderungen der Datenrichtlinien.
9. Übertragungssicherheit –Identifizierung nicht autorisierter Kommunikation und Versuche, Anwendungen oder Speicher mit Gesundheitsinformationen zu ändern.

5 Möglichkeiten, wie SIEM bei SOX-Compliance und Audits helfen kann

1. Sicherheitsrichtlinien und -standards –Verfolgung von Informationssicherheitsrichtlinien (z. B. einer E-Mail-Sicherheitsrichtlinie) und -standards (z. B. einer Standardmethode zur Sicherung von Windows-Desktopcomputern). Ein SIEM kann ermitteln, welche IT-Systeme den Richtlinien und Standards entsprechen, und in Echtzeit über Verstöße informieren.
2. Zugriff und Authentifizierung –Überwachung der Kontoerstellung, Änderungsanforderungen und Aktivitäten entlassener Mitarbeiter.
3. Netzwerksicherheit –Überwachung von Warnungen von Firewalls und anderen Edge-Sicherheitsgeräten und Identifizierung bekannter Angriffsmuster im Netzwerkverkehr.
4. Protokollüberwachung –Aggregieren von Sicherheitsereignissen und Warnen bei ungültigen Anmeldeversuchen, Portscans, Privilegienerweiterungen usw.
5. Funktionstrennung –Der SOX-Standard erfordert, dass keine einzelne Person einen gesamten Datenprozess von Anfang bis Ende kontrolliert. Ein SIEM kann beispielsweise sicherstellen, dass Dateneingabemitarbeiter nur auf die von ihnen erstellten Daten zugreifen und niemals andere Daten einsehen oder ändern.

6 Möglichkeiten, wie ein SIEM dazu beitragen kann, Insider-Bedrohungen zu stoppen

1. Erkennen kompromittierter Benutzeranmeldeinformationen –SIEMs können mithilfe von Verhaltensanalysen anomales Benutzerverhalten erkennen, das auf eine Kompromittierung hindeutet. Beispiele hierfür sind Anmeldungen zu ungewöhnlichen Zeiten, mit ungewöhnlicher Häufigkeit oder der Zugriff auf ungewöhnliche Daten oder Systeme.
2. Anomale Privilegieneskalation–SIEMs können erkennen, wenn Benutzer ihre Rechte für kritische Systeme ändern oder erweitern.
3. Command-and-Control-Kommunikation –SIEMs können den Netzwerkverkehr mit Bedrohungsdaten korrelieren, um Malware zu erkennen, die mit externen Angreifern kommuniziert. Dies ist ein Zeichen für ein kompromittiertes Benutzerkonto.
4. Datenexfiltration –SIEMs können Verhaltensanalysen verwenden, um scheinbar nicht zusammenhängende Ereignisse zu kombinieren und zu analysieren, wie z. B. das Einstecken von USB-Sticks, die Verwendung persönlicher E-Mail-Dienste, nicht autorisierte Cloud-Speicherung oder übermäßiges Drucken.
5. Schnelle Verschlüsselung –SIEMs können die Verschlüsselung großer Datenmengen erkennen und stoppen. Dies könnte auf einen Ransomware-Angriff hinweisen, der oft von kompromittierten Insidern ausgeht.
6. Laterale Bewegung –Insider, die einen Angriff durchführen, versuchen möglicherweise, auf dem Weg zu einem Ziel Konten, Rechner und IP-Adressen zu wechseln. SIEMs können dieses Verhalten erkennen, da sie einen umfassenden Überblick über mehrere IT-Systeme haben.

5 Möglichkeiten, wie ein SIEM dazu beitragen kann, den Missbrauch privilegierter Zugriffe zu verhindern

1. Unerwünschte Aktivitäten –Überwachung und Meldung verdächtiger Zugriffe auf vertrauliche Daten.
2. Verstöße Dritter –Überwachung der Aktivitäten externer Anbieter und Partner, die Zugriff auf Organisationssysteme haben, um anomales Verhalten oder eine Ausweitung von Berechtigungen zu erkennen.
3. Ausgeschiedene Mitarbeiter –Benachrichtigung bei Aktivitäten gekündigter Benutzerkonten oder unerwarteter Aktivität bei Konten, die normalerweise inaktiv sind.
4. Menschliches Versagen –Warnung vor anomalen Aktivitäten, die auf einen katastrophalen menschlichen Fehler zurückzuführen sein könnten, wie etwa das Löschen großer Datenmengen.
5. Überbeanspruchung –Meldung von Benutzern, die auf Systeme oder Daten zugreifen, die nicht ihrem normalen Nutzungsprofil entsprechen.

4 Möglichkeiten, wie ein SIEM dazu beitragen kann, Trusted Entity Compromise zu erkennen und zu stoppen

1. Benutzerkonten –Identifizieren Sie anomale Aktivitäten, geben Sie entsprechende Warnungen aus und stellen Sie Ermittlern die Daten zur Verfügung, die sie benötigen, um zu verstehen, ob ein privilegiertes Benutzerkonto kompromittiert wurde.
2. Server –Erstellen einer vertrauenswürdigen Basislinie der Serveraktivität, Erkennen von Abweichungen von dieser Basislinie und Alarmieren des Sicherheitspersonals.
3. Netzwerkgeräte –Überwachen Sie den Datenverkehr im Laufe der Zeit und erkennen Sie ungewöhnliche Spitzen, nicht vertrauenswürdige Kommunikationsquellen, unsichere Protokolle und andere Anzeichen böswilligen Verhaltens.
4. Antiviren-Überwachung –Malware ist ein häufiger Einstiegspunkt für Host-Kompromittierungen. SIEMs können Antiviren-Bereitstellungen umfassend überwachen und Ereignisse wie deaktivierten Schutz, entferntes Antivirenprogramm oder den Status von Bedrohungsupdates melden.

7 Möglichkeiten, wie SIEM bei der Bedrohungssuche helfen kann

1. Warnungen von Sicherheitssystemen –Bereitstellung umsetzbarer Warnungen, die Kontext und Daten liefern, um bei der Untersuchung eines potenziellen Vorfalls zu helfen.
2. Umgebungsanomalien –Identifizierung von Anomalien in IT-Systemen mithilfe von Korrelationen und Verhaltensanalysen
3. Neue Sicherheitslücken –Organisieren von Daten rund um eine neue Sicherheitslücke – Zeitleiste und betroffene Systeme, Daten und Benutzer.
4. Tipps von Kollegen oder den Medien –Durchsuchen Sie historische Daten nach Angriffsmustern oder Signaturen, die bekannten Angriffen ähneln.
5. Bedrohungsintelligenz–Kombination von Threat Intelligence mit Sicherheitsdaten, um Angriffe auf IT-Systeme intelligent zu erkennen.
6. Hypothesen basierend auf bekannten Risiken –Hilft Analysten, eine Hypothese zu formulieren und zu testen, indem sie Sicherheitsdaten im SIEM untersuchen.
7. Ähnliche Vorfälle –Überprüfen, ob „dies schon einmal passiert ist“ – Durchsuchen von Sicherheitsdaten nach Mustern, die einem aktuellen oder früheren Sicherheitsvorfall ähneln.

6 Möglichkeiten, wie ein SIEM zur Verhinderung von Datenexfiltration beitragen kann

1. Backdoors, Rootkits und Botnets –Erkennen des Netzwerkverkehrs zu Kommando- und Kontrollzentren und Identifizieren infizierter Systeme, die Daten an nicht autorisierte Parteien übertragen.
2. FTP und Cloud-Speicher –Überwachung des Netzwerkverkehrs über Protokolle, die die Übertragung großer Datenmengen ermöglichen, und Warnmeldungen, wenn ungewöhnliche Mengen oder Dateitypen übertragen werden oder wenn das Ziel unbekannt oder bösartig ist.
3. Webanwendungen –Überwachung der Nutzung organisatorischer Webanwendungen durch Außenstehende oder der internen Nutzung externer Webanwendungen, die Downloads oder Browserzugriffe auf vertrauliche Daten beinhalten kann.
4. E-Mail-Weiterleitung –Erkennen von E-Mails, die an andere Entitäten als den angegebenen Empfänger weitergeleitet oder gesendet wurden.
5. Laterale Bewegung –Bei der Datenexfiltration versuchen Angreifer typischerweise, auf dem Weg zu einem lukrativen Ziel ihre Berechtigungen zu erweitern oder auf andere IT-Systeme zuzugreifen. SIEMs können laterale Bewegungen erkennen, indem sie Daten aus mehreren IT-Systemen korrelieren.
6. Mobile Datensicherheit –Ein SIEM kann Daten der mobilen Belegschaft überwachen und Anomalien erkennen, die auf einen Informationsverlust über ein mobiles Gerät hinweisen könnten.

6 Möglichkeiten, wie ein SIEM zur Eindämmung von IoT-Bedrohungen beitragen kann

1. Denial-of-Service-Angriffe (DoS) –Identifizierung ungewöhnlichen Datenverkehrs von IoT-Geräten im Besitz der Organisation, der von einem Angreifer für einen Angriff ausgenutzt werden könnte.
2. IoT-Schwachstellenmanagement –Erkennen alter Betriebssysteme, ungepatchter Schwachstellen und unsicherer Protokolle auf IoT-Geräten.
3. Zugriffskontrolle –Überwachen, wer auf IoT-Geräte zugreift und wo diese eine Verbindung herstellen, und Warnen, wenn Quelle oder Ziel unbekannt oder verdächtig sind.
4. Datenflussüberwachung –Viele IoT-Geräte kommunizieren über unverschlüsselte Protokolle und können zur Übertragung sensibler Daten genutzt werden. Ein SIEM kann ungewöhnliche Datenflüsse zu und von IoT-Geräten überwachen und das Sicherheitspersonal alarmieren.
5. Gefährdete Geräte –Identifizierung von Geräten, die aufgrund von Sicherheitslücken, Zugriff auf vertrauliche Daten oder kritische Funktionen gefährdet sind.
6. Kompromittierte Geräte –Identifizieren von anomalem oder verdächtigem Verhalten von IoT-Geräten und Benachrichtigen des Sicherheitspersonals, dass ein Gerät oder eine Geräteflotte kompromittiert wurde.