ACDC: SIEM und Compliance, wo Sie es benötigen
Nachdem das Thema Informationssicherheit lange Zeit ein Schattendasein geführt hat, ist es inzwischen ein fester Bestandteil jeder Unternehmensagenda. Doch neben der erhöhten Wahrnehmung hat Informationssicherheit in den letzten Jahren weitere Entwicklungen vollzogen:
Umfassender Ansatz
War Informationssicherheit früher auf IT-Systeme und deren technischen Schutz durch isolierte Maßnahmen wie Firewalls, AV-Systeme etc. beschränkt, so wurde dieser Ansatz inzwischen durch die Top-Down-Herangehensweise eingeholt. Erst nachdem ein Unternehmen festgestellt hat, welche Werte es vor welchen Gefährdungen schützen muss, kann über sinnvolle Maßnahmen – technischer wie organisatorischer Natur – entschieden werden.
Compliance
Die Anforderungen an Informationssicherheit resultieren nicht nur aus der unternehmensinternen Risikobetrachtung, sondern immer mehr aus externen Forderungen. Diese kommen üblicherweise von relevanten Kunden oder aber dem Gesetzgeber selbst in Form des Informationssicherheitsgesetzes. Diese Entwicklungen stellen Unternehmen früher oder später vor die Herausforderung, dass ihre IT-Systeme keine ausreichenden Möglichkeiten zur Detektion von Anomalien und unerwünschten Vorgängen bieten. Hierfür wurden SIEM-Systeme entwickelt, in denen Logmeldungen und Netzwerkkommunikation unterschiedlicher Systeme normalisiert, korreliert und gegebenenfalls alarmiert werden.
Die ACDC-Lösung
(Advanced Cyber Defense Center) geht einen anderen Weg als die klassischen SIEM-Lösungen. Die Idee hinter ACDC ist, dass nicht alle anbindbaren Systeme auch tatsächlich angebunden werden sollten, sondern dass die Grundlage immer die Definition der wichtigen Use Cases ist. Dazu werden beim Kunden durch KPMG- Berater entsprechende Assessments durchgeführt, um die für den Kunden wichtigen Systeme und Daten zu identifizieren und entsprechende Use Cases zu entwickeln.
Daraus resultieren die benötigten Logs, relevante Regeln sowie individuelle Alarmierungsketten. Die Use Cases werden dann in eine Managed SIEM-Umgebung überführt, die 24/7 im PROFI-eigenen SOC (Security Operation Center) betrieben wird.
Der Kunde erhält schließlich genau das, was er tatsächlich braucht, um Compliance-Anforderungen zu erfüllen: Eine Alarmierung im Falle einer Regelverletzung, ohne selbst eine ganze SIEM-Infrastruktur betreiben zu müssen.
Die Implementierung eines SIEM-Systems stellt eine besondere Herausforderung dar:
- Welche Daten und Vorgänge haben den größten Schutzbedarf?
- Welche Use Cases und Alarme bringen mir realen Mehrwert?
- Welche Quelldaten sind tatsächlich relevant?
- Die Pflege des Systems erfordert oft völlig neue Skills im Unternehmen.
- Der Betrieb muss 24/7 gewährleistet sein.