Der Weg zu einer bedarfsgerechten SIEM Use Case Entwicklung

Sicherheitsvorfälle können in der Komplexität moderner IT-Infrastrukturen oft nur sehr aufwendig analysiert werden. Eine große Hilfe dabei sind Security Information and Event Management (SIEM)-Tools. Die Wirksamkeit eines SIEM-Tools hängt von der implementierten Korrelationslogik ab. Zur Konfiguration dieser Logik helfen Use Cases, wobei so ein Anwendungsfall jeweils ein zu überwachendes Risikoszenario beschreibt.

Ein Use-Case-Framework bündelt alle denkbaren Sicherheitsszenarien. Es ist eine vom Cyber Defense Center (CDC) Team verwendete Methode zur Ermittlung und Organisation technischer und organisatorischer Anforderungen an das Monitoring dieser Szenarien. Bestimmte Risikoszenarien können so leichter erkannt und Gegenmaßnahmen frühzeitig eingeleitet werden. Das Framework hilft dabei, die richtigen Risikoszenarien zu entwickeln und Antworten auf folgende Fragen zu liefern:

  • Was ist passiert?
  • Welche Systeme sind betroffen?
  • Wie hoch ist das Risiko?
  • Welcher Schaden ist entstanden beziehungsweise kann noch entstehen?
  • Wie muss reagiert werden?
  • Wer muss wann informiert werden?

Entwicklung der Use Cases

Es empfiehlt sich die Umsetzung eines Use Case Frameworks auf Basis des Unternehmens-ISMS. Dabei geht es um die praxisgerechte Erfassung der jeweiligen Cyber Kill Chain mit Hilfe der Entwicklungsmethode Top-Down-Bottom-Up-Middle-Out (TDBUMO).

Aus dem ISMS des Unternehmens lassen sich generelle Bedrohungen bezüglich der Geschäftsprozesse ableiten. Diese werden unter Zuhilfenahme der Cyber Kill Chain in unterschiedliche Bedrohungsszenarien aufgeteilt, welche durch die eingesetzte SIEM-Lösung grundsätzlich überwacht werden können. Um Ganzheitlichkeit zu erreichen, muss nun die vorliegende IT-Umgebung mit einbezogen werden. TDBUMO ist eine weitverbreitete Design-Methode, die dazu dient, generelle Anforderungen konkretisiert umsetzen zu können. Im Kontext von SIEM Use Cases bedeutet das die Erfassung folgender Aspekte:

  • Welche Bedrohungen existieren und welche Informationen werden benötigt, um diese Bedrohung zu überwachen? (Top-Down )
  • Welche Logs kommen auf welchem Weg in das SIEM und welche Informationen sind in den einzelnen Logs enthalten? (Bottom-up)
  • Im Ergebnis erhält man konkrete SIEM Use Cases, welche die eigene IT-Umgebung vollständig berücksichtigt (Middle-Out)

Operationell muss das SIEM Use Case Framework mit den Handlungsanweisungen für die Mitarbeiter, die beim Eintreten von Sicherheitsvorfällen ausgeführt werden müssen (sog. Playbooks) verzahnt werden. Dazu empfiehlt sich die Verwendung eines einheitlichen Vokabulars, zum Beispiel in Form einer Adaption des VERIS-Frameworks (Vocabulary for Event Recording and Incident Sharing). VERIS bietet über ein einheitliches Vokabular hinaus die Möglichkeit, Security Events und Security Incidents strukturiert zu erfassen, zu bearbeiten und zu dokumentieren.

Diese Security Incident-Kategorien lassen sich wiederum dazu nutzen, die Anzahl der zu erstellenden Playbooks auf ein Minimum zu reduzieren . Im Idealfall beginnt die Use Case-Entwicklung mit einer formellen Beschreibung der Entwicklungsmethodik und beruht auf den Prinzipien, dass SIEM Use-Cases

• bedrohungsorientiert

• die IT Umgebung ganzheitlich abdecken und

• durch die SIEM-Lösung zu verarbeiten

sein müssen. Zu diesem Zweck hat sich die Etablierung und Implementierung eines SIEM Use Case Frameworks bewährt, das sich an den zuvor genannten Prinzipien orientiert und zusätzlich sicherstellt, dass

• Use Cases unabhängig von der verwendeten SIEM-Lösung entwickelt werden können,

• die „Übersetzung“ der formellen Use-Cases in die SIEM-spezifische Korrelationslogik vereinfacht wird („Build once – use many“)

• die definierten Use Cases den Compliance-Anforderungen des Unternehmens entsprechen

• Use Cases flexibel an die jeweilige, aktuelle Bedrohungslage angepasst werden können.

Use Case Framework

Ein Use Case Framework muss mindestens folgende Bedingungen erfüllen, um effizient und wirksam zu sein:

• Die Regelerstellung für die Korrelierungslogik muss vom SIEM-Tool unabhängig dokumentiert werden können und einen kompletten Use Case-Lebenszyklus unterstützen.

• Die Use Cases müssen über das SIEM-Regelwerk hinaus auch die Playbooks für die Security-Analysten bereitstellen.

Über die ConSecur GmbH

Die ConSecur GmbH, gegründet 1999 mit Sitz in Meppen, ist ein Dienstleistungsunternehmen mit dem Schwerpunkt Informationssicherheit: ConSecur entwickelt, analysiert und realisiert Sicherheitskonzepte für die Informationsverarbeitung. Darüber hinaus bewertet und verbessert ConSecur bestehende Infrastrukturen, schult Anwender und Experten und berät seine Kunden bei der Auswahl von IT-Sicherheitskomponenten.

Ein besonderer Schwerpunkt von ConSecur sind Cyber Defense und Security Information and Event Management (SIEM). ConSecur betreibt ein eigenes Cyber Defense Center und ist führendes Beratungshaus in der Nutzung von SIEM-Tools. SIEM und Cyber Defense werden auch als Managed Service angeboten.

Zu dem stetig wachsenden Kundenstamm gehören Unternehmen aus vielen Branchen wie Telekommunikation, Automobil, Schifffahrt, Finanzen, Chemie sowie der öffentlichen Verwaltung.

Firmenkontakt und Herausgeber der Meldung:

ConSecur GmbH
Nödiker Str. 118
49716 Meppen
Telefon: +49 (5931) 9224-0
Telefax: +49 (5931) 9224-44
http://www.consecur.de

Ansprechpartner:
Stephan Ilic
Senior Berater Cyber Defense
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.