Maximierung von SIEM durch Datenanalyse

Cyberkriminalität hat sich zu einem stetig wachsenden Problem entwickelt, das alle Branche erfasst. Vor allem die Finanzbranche und professionelle Dienstleistungen sowie der öffentliche Sektor sind stark betroffen. Die Früherkennung von Bedrohungen in der Sicherheit und die Verringerung des Gesamtrisikos stellen die IT-Spezialisten immer wieder vor große Herausforderungen.

Mithilfe einer neuen Analyseplattform sollen mögliche Bedrohungen in Echtzeit erkannt und abgewendet werden. Der SIEM-Ansatz (Security Information Event Management) bietet den Verantwortlichen eine ganzheitliche Sicht auf den Schutz der Informationstechnologie (IT) ihres Unternehmens. Fielen Daten über die Sicherheit einer Firma früher oftmals an verschiedenen Stellen an, so fasst SIEM die Funktionen von Security Information Management (SIM) und Security Event Management (SEM) in einem Sicherheits-Management-System zusammen. Durch die Möglichkeit der parallelen Betrachtung aller gesammelter Daten, lassen sich Trends und Muster, die vom gewohnten Schema abweichen, wesentlich einfacher erkennen. So können Unternehmen Anomalien und mögliche Bedrohungen sofort realisieren und darauf reagieren. 

Herausforderungen trotz SIEM-Implementierung

Erhöhte Fehlalarmrate: Die statischen Regeln, nach denen eine SIEM-Plattform die Daten auswertet, sind Fluch und Segen zugleich. So gaben 45 Prozent der IT-Leiter an, dass es schon bei kleinsten Abweichungen zu Fehlalarmen kommt.

Beschränkte Data Retention Rates: Aufgrund der stetig ansteigenden Flut an Daten, kommen einige Plattformen an die Grenzen ihrer Kapazitäten. Unternehmen, die ein SIEM implementiert haben, sehen sich dadurch oftmals im Laufe der Zeit mit Kosten- oder Technologiebeschränkungen konfrontiert. Organisationen sind gezwungen, die Datenaufbewahrungszeiten auf Monate statt auf Jahre zu reduzieren. Dies beschränkt jedoch die kontextbezogene Auswertung der Daten über einen längerfristigen Zeitraum.

Begrenzte Flexibilität für Analyse-Funktionen: SIEMs bieten eine gute Plattform für deskriptive und diagnostische Analysen über eine Teilmenge von Informationen für Realtime-Dashboards. Allerdings können suchbasierte Analysen für Analytiker eine Einschränkung darstellen. Ohne die Möglichkeit, analytische Open-Source-Innovationen in großem Maßstab nutzen zu können, haben Organisationen Schwierigkeiten, hoch entwickelte unbekannte Angriffe innerhalb des starren Rahmens eines SIEMs zu erkennen.

SIEM Lock-In: Aufgrund ihrer proprietären Software benötigen SIEMs eine proprietäre Datenspeicherung und ein spezifisches SIEM-Datenformat. Das macht es extrem schwierig, sich von diesem Format zu lösen. Zumal auf Daten, die einmal in dieses Format gebracht worden sind, nur noch mittels SIEM-zertifizierter Anwendung zugegriffen werden kann. 

Wie können Organisationen SIEM-Fähigkeiten kostengünstig erweitern?                          

Open-Source-Datenanalyse- und maschinelle Lernplattformen haben den Security Operations Centern einen Weg in die Zukunft eröffnet. Moderne Plattformen geben Unternehmen einen Ort, an dem sie Daten speichern und analysieren können. Dieser kann sowohl das eigene Rechenzentrum oder aber auch die Cloud sein. Gleichzeitig bietet sie eine sichere und gesetzeskonforme Unternehmenstransparenz.

Das Auslagern von Daten von einem SIEM auf eine Datenanalyseplattform hilft Organisationen die Kosten für den SIEM-Speicher und die Indizierung zu senken. Es erhöht zudem die Vielfalt und das Volumen der für die Analyse zugänglichen Daten. Die Lagerung von Daten auf einer robusten Datenanalyse-Plattform in Verbindung mit der Strukturierung in einem von einer Open-Source-Community definierten offenen Datenmodell ermöglicht es den Organisationen, die Hersteller-bindung zu durchbrechen, Daten im Wert von mehreren Jahren zu geringeren Kosten zu speichern und die weitere Datenaufnahme für jede Art von Daten zu öffnen.

Erweiterte Analyse-Flexibilität

Die Optimierung von SIEM durch die Kombination mit einer modernen Plattform für maschinelles Lernen und Analytik bietet Unternehmen die Möglichkeit, die Flexibilität der Analytik zu erhöhen. 

Das IT- und Cybersicherheitsrisiko kann durch das rechtzeitige Erkennen, Analysieren und entsprechendes Reagieren deutlich reduziert werden. Dabei hilft es, dass zu Analysezwecken und zum Auffinden möglicher Anomalien auf größere Datenmengen zurückgegriffen werden kann. Durch den Einsatz dieser Open-Source-Analytik-Bibliotheken auf einer robusten Datenanalyse-Plattform können Analysebereiche weiter ausgebaut werden, ohne dass sie die zugrunde liegenden Plattformen für zukünftige Erweiterungen wechseln müssen.

Flexiblere Bereitstellungsoptionen

Eine leistungsstarke Datenanalyse-Plattform kann vor Ort oder über mehrere Clouds hinweg eingesetzt werden. Dies ermöglicht Organisationen eine Multi-Cloud-Strategie. Eine solche Strategie senkt die Herstellerbindung sowie Ausfallzeiten und versetzt sie in die Lage Workloads zwischen Clouds zu migrieren. Das Bereitstellen von kurzlebigen, dynamischen Übergangs-Clustern für spezifische Datenverarbeitungsanforderungen oder analytische Anwendungsfälle bei gleichzeitiger Skalierbarkeit der Speicher- und Rechenleistung erlaubt es schnell zu experimentieren, ohne vorab in Infrastrukturkosten investieren zu müssen.

Durch den Einsatz einer Analyse- und Machine Learning-Plattform der nächsten Generation in Verbindung mit einem SIEM wird eine starke, zukunftssichere Infrastruktur bereitgestellt. Es ermöglicht Organisationen ihre Anstrengungen zur Verbesserung der Cybersicherheit durch Optimierung der SIEM-Implementierungen zu verstärken, sowie sich maschinelles Lernen und analytische Anwendungsmöglichkeiten zu erschließen. Indem unterschiedliche Funktionen in einem SIEM-System zusammengebracht werden, wird eine schnellere Identifikation, Analyse und Wiederherstellung bei sicherheitsrelevanten Zwischenfällen realisiert. Durch die signifikante Senkung der Kosten für die Speicherung und Aufnahme von Daten mit der Open-Source-Technologie können Organisationen ihre Unternehmenstransparenz erhöhen, die Herstellerbindung aufheben bzw. senken und die Analysen bereitstellen, die sie benötigen, um die Datensicherheit zu gewährleisten.

www.cloudera.com  

Autor: Syed Rafice