Cloud-native Security-Architekturen Paradigmenwechsel beim SIEM

Anbieter zum Thema

PROFI Engineering Systems AG

WatchGuard Technologies GmbH

Fsas Technologies GmbH

Sicherheitsteams sind in einem Strudel veralteter Technologien gefangen. Trotz aller vorhandenen Werkzeuge, Bemühungen und Ausgaben können sie nicht die einfache Frage ihrer Geschäftsleitung beantworten: „Sind wir gefährdet?“

Weitsichtige CIOs und CISOs erkennen, dass es Zeit ist, veraltete Paradigmen über Bord zu werfen und einen völlig neuen Ansatz zu fahren – einen, der ihre Teams befähigt und ihnen dabei hilft, ihre Geschäftsleitung besser zu beraten. Sie treffen dabei jedoch auf die verwirrende Ausbreitung von punktuellen Lösungen wie UEBA-, XDR-, SOAR- und TIP. Diese resultiert aus dem gescheiterten Versuch der Branche, die Mängel veralteter SIEM- und SecOps-Werkzeuge anzugehen, ohne zuerst grundlegende Probleme zu lösen. Denn: Big-Data-Probleme können nur mit Big-Data-Lösungen behoben werden, die ihrerseits eine moderne, cloud-native Architektur erfordern. Erweiterungen erhöhen immer nur die Komplexität und die Kosten. Ein weiteres Kernproblem ist dabei die Abhängigkeit von proprietären Abfragesprachen und spezialisierten Fähigkeiten, die bereits überlastete Analysten weiter einschränken. Sie von dieser Last zu befreien, würde den Bedarf an zusätzlichem Personal aber reduzieren, manuelle Prozesse eliminieren und Analysten wieder zu dem zurückbringen, was sie eigentlich am besten können – analysieren.

Mike Nichols und Jörg Hesske von Elastic im Gespräch

KI soll SIEM-Systeme ersetzen

Die jüngste Konsolidierungswelle verstärkt die Verwirrung bei den Anwendern: Ciscos Übernahme von Splunk, eine Exabeam-LogRhythm-Fusion, Palo Alto Networks Kauf von IBMs QRadar und einiges mehr. Anstatt Kundenbedürfnisse zu bedienen oder Produkte zu verbessern, scheinen diese Fusionen und Übernahmen darauf abzuzielen, eine investorenfreundliche Geschichte zu schaffen, indem Erweiterungen und ältere Werkzeuge gezielt abgewertet werden, um Kunden an ihre Plattformen zu binden. Leider werden die Anwender in dieser Gemengelage zu Kollateralschäden. Sie leiden unter geringerer Auswahl sowie Produkten mit unsicherer Zukunft.

Was erwartet die Geschäftsleitung?

Trotz dieser absehbaren Zeitenwende erwarten Geschäftsleitungen und Vorstände, dass die neuesten cloud-nativen Architekturen, Künstliche Intelligenz und maschinelles Lernen optimal eingeführt sowie eingesetzt werden, um ihre Unternehmen effizient zu schützen und voranzubringen. Sie wollen maximale Automatisierung und umfassende Sichtbarkeit der Bedrohungslandschaft. Zudem suchen sie nach Echtzeit-Erkenntnissen und besserem Talentmanagement. Sie erwarten also Lösungen, die tief in bestehende Infrastrukturen integriert sind und möchten Updates in Echtzeit zu Bedrohungen und Angriffen in einer Sprache, die sie verstehen. Eine weitere Anforderung ist, dass zudem die Kosten gesenkt werden sollen.

Deshalb scheitern SIEM-Projekte

Die Top 10 Fehler bei einem SIEM

Was brauchen SOC-Analysten und Threat Hunter, um produktiv zu sein?

SOC-Analysten und Threat Hunter sind eine knappe und wertvolle Ressource. Um ihre Zeit am effizientesten zu nutzen, benötigen sie vor allem Fokus und Kontext. In der kritischen frühen Reaktionsphase eines Angriffs zählt jede Minute. Je schneller diese Mitarbeiter also gezielte Maßnahmen ergreifen können – anstatt im Moment den Kontext und die Anwendbarkeit dieser Maßnahmen zu ermitteln – desto besser werden ihre Ergebnisse sein. KI-basierte Copilots bringen das SIEM-Konzept in diesem Zusammenhang auf eine höhere Stufe, indem sie kontextuelle Bedrohungsinformationen, Anwendbarkeit des Schwachstellenmanagements und KI-gesteuerte Abfragefähigkeiten kombinieren, um die Fähigkeiten der Cyber-Experten insgesamt zu erweitern. Sie verkürzen damit den Weg zu zielgerichteten Maßnahmen, indem sie den Blick darauf beschleunigen, wo kritische Maßnahmen am besten Anwendung finden.

Paradigmen können nur durch angepasstes Denken verändert werden

Fortschrittliche CIOs und CISOs können durchaus den Wald vor lauter Bäumen sehen, denn sie behalten den Durchblick auch angesichts des Wirrwarrs veralteter Technologien und der Auswirkungen der jüngsten M&A-Aktivitäten. Sie sind zudem darauf konzentriert, die Rahmenbedingungen positiv zu verändern, ihre Mitarbeiter besser einzubinden und, darauf basierend, hochwertige Resultate zu liefern. In diesem Kontext benötigen sie Systeme, die Terabytes an Daten in Stunden aufnehmen und Petabytes an Sicherheitsdaten in Sekunden durchsuchbar zu machen. Die Lösung liegt heutzutage in einer KI-gestützte Security-Operations-Plattform, die Sicherheitsanwendungen mithilfe eines intelligenten KI-Copilots modernisiert. Diese Lösung befähigt dann sogar Junior-Analysten, in Echtzeit Bedrohungen zu verfolgen, indem sie natürliche Sprachabfragen, beispielsweise auf Deutsch, über einen umfassenden Security Data Lake nutzen. Dies eliminiert dann auch die Notwendigkeit, zwischen Hot und Cold Storage zu unterscheiden. Es macht zudem Schluss mit der Voraussetzung, einzelne Legacy-Tools wie ETL, SIEM, SIEM der nächsten Generation, XDR, UEBA, SOAR und TIP zu evaluieren, teuer einzukaufen und zu verwalten, und bietet gleichzeitig eine neue Dimension von Geschwindigkeit, Skalierbarkeit und Leistung.

SIEM vs. XDR

Ist SIEM wirklich tot?

In der Finanzwelt findet der Wandel bereits statt

Es gibt viele Beispiele für fortschrittliche Unternehmen, die darauf verzichten möchten, sich an einen bestimmten Anbieter zu binden und auf veraltete Technologien zurückzugreifen. Oft handeln diese aber nicht. Doch beispielhaft hat ein großes, weltweit tätiges Finanzinstitut Initiative gezeigt und seine Sicherheitsabläufe umgestellt. Der Einsatz der KI-basierten Plattform war so erfolgreich, dass das Unternehmen plant, innerhalb der nächsten zwölf Monate von vielen anderen bisher im Einsatz befindlichen Tools wegzukommen. Das Unternehmen senkt in diesem Zusammenhang zusätzlich die Kosten und trägt gleichzeitig zum EPS (Gewinn pro Aktie) und zu einem höheren Cashflow bei. Das Team automatisiert jetzt mehr als die Hälfte seiner kritischen Aufgaben, wodurch es mehr Zeit für die Suche nach akuten Bedrohungen und andere wichtige Sicherheitsaufgaben hat. Darüber hinaus hat sich die Fähigkeit des Unternehmens verbessert, seinen Talente-Pool aufzustocken bzw. Know-how in der Organisation zu halten.

Migration muss nicht schmerzhaft sein

Die Nutzung der neuesten cloud-nativen Architektur vereinfacht den Übergang der Systeme erheblich. Einige Unternehmen beginnen vorsichtig mit ersten Tests, indem sie KI-Plattformen zu ihren bestehenden Tools hinzufügen. Aber nach einem Einblick auf die Leistungsfähigkeit der Lösungen und die einfache Migration wechseln sie schnell zu einem vollständigen Ersatz. Wichtig ist, die Bedürfnisse für Bedrohungserkennung, Untersuchung und Reaktion sowie die Lösungen, die erforderlich sind, um diese Ziele zu erreichen, eindeutig zu definieren. Relevante Fragen in diesem Zusammenhang sind:

• 1. Funktioniert das aktuelle SIEM für die Organisation?

• 2. Wie sieht es mit der Pipeline und der Datenanalyse für relevante Sichtbarkeit aus?

• 3. Bietet das SIEM Automatisierung und angereicherten Kontext, um die Sicherheitsanalytik zu verbessern und bessere Geschäftsergebnisse zu erzielen?

Fazit

Vor dem Hintergrund komplexer Bedrohungen ist es entscheidend, aktuelle Paradigmen zu überdenken und auf moderne, cloud-native Architekturen zu setzen. Die Reduzierung der Abhängigkeit von proprietären Tools und spezialisierten Fähigkeiten entlastet dabei Analysten und ermöglicht ihnen, sich auf ihre Kernaufgaben zu konzentrieren. KI-basierte Sicherheitsplattformen, die kontextuelle Bedrohungsinformationen und Schwachstellenmanagement kombinieren, beschleunigen in diesem Zusammenhang die Umsetzung gezielter Maßnahmen. Diese werden dann die Effizienz von Sicherheitsteams steigern und den effektiven Schutz des Unternehmens gewährleisten.

Über den Autor: Frank Lange ist Technical Director bei Anomali in Deutschland. Mit mehr als zwanzig Jahren einschlägiger Berufserfahrung berät er Kunden bei der Früherkennung von Bedrohungen im Bereich Security Operations.

(ID:50220719)