Die wollen uns einen SIEM-Service verkaufen — brauchen wir das in unserer Größe wirklich, was bringt das?

Die Aussage des Verkäufers "SIEM ist Pflicht für KVKK" entspricht nicht der Realität. Das Gesetz verlangt von euch, für die Sicherheit personenbezogener Daten angemessene technische Maßnahmen zu ergreifen und Verarbeitungsprotokolle rückwirkend einsehen zu können, es nennt nicht direkt SIEM-Software. Wenn ihr grundlegende Zugriffslogs mit Zeitstempel speichern könnt erfüllt ihr rechtlich schon die Mindestanforderung. Die versuchen, mit Angstmache Verträge an Land zu ziehen.

Wir sind ein Architekturbüro mit 55 Mitarbeitern. Vor zwei Jahren sind wir mit ähnlicher Angst in so einen Service gegangen und haben monatlich 18.000 TL gezahlt. Sechs Monate lang haben sie uns jede Woche Standard-PDF-Berichte geschickt. Als wir reingeschaut haben, sahen wir, dass es wöchentlich dreihundert Fehlalarme produzierte und keiner davon eine echte Bedrohung war. Als der Vertrag auslief, haben wir gekündigt und sind auf eine erweiterte Endpoint-Lizenz umgestiegen, unsere Kosten sind auf ein Drittel gefallen.

Die SIEM-Engine funktioniert nur richtig über Korrelation. Active-Directory-Ereignisse, Switches, Firewall-Logs müssen einzeln eingespeist werden. An einem Ort mit 40 Rechnern, wie viele aussagekräftige Sicherheitsvorfälle können da am Tag schon passieren? Die meisten Alarme bleiben auf dem Niveau von "Ahmet hat sein Passwort dreimal falsch eingegeben". Um das zu überwachen, monatlich Tausende Lira Servicegebühr nach draußen zu zahlen, ist unlogisch.

unserem chef haben sie dasselbe erzählt und dann hat sich der server im büro einen ransomware-virus eingefangen. weil der kollege aus der buchhaltung die gefälschte rechnung geöffnet hatte und es nicht mal zwei-faktor-login gab. sie meinten mit siem hättet ihr nur live zugesehen wie sich der virus ausbreitet. ich finde erst mal die grundlegenden lücken schließen.

Gibt es unter euren Kunden große Automobilfabriken oder ausländische Partner, die Audit-Vorgaben machen? Manchmal können Erstausrüster ihren Zulieferern per Vertrag bestimmte Sicherheitsstandards oder Echtzeit-Überwachungssysteme vorschreiben. Wenn es so einen externen Audit-Druck nicht gibt wirkt das Angebot für euch ziemlich luxuriös.

Bevor ihr das Geld an einen SIEM-Service bindet, prüft, ob ihr diese drei Punkte erledigt habt: 1) Haben die Buchhaltungs- und ERP-Server direkt offene Ports ins Internet, 2) Werden eure Backups an einem physisch vom Netz getrennten Ort aufbewahrt, 3) Läuft auf allen Geräten ein zentral verwalteter, lizenzierter Endpoint-Schutz? Wenn das fehlt, nützt SIEM nur zum Zuschauen beim Feuer.

Bedankt euch höflich für das Angebot und erhöht die Log-Archivierungskapazität eurer bestehenden Firewall. Eine externe Speichereinheit hinstellen, die Logs dorthin leiten, täglich die Backups kontrollieren, das reicht. Statt monatlich 22.000 TL zu zahlen, steckt das Geld in euer IT-Personal oder in die Erneuerung der Infrastruktur-Hardware.

Bei der Logistikfirma, bei der ich früher gearbeitet habe, wurde es mit ähnlicher Begeisterung aufgesetzt. Wegen der hunderten Alarme im ersten Monat hat das IT-Team die Benachrichtigungen stummgeschaltet. Im vierten Monat haben wir unter den stummgeschalteten Benachrichtigungen nicht mal gemerkt, dass ein Server verschlüsselt wurde. Es liegt nicht an der Software, sondern an der Qualität des Experten, der davor sitzt; mit einem KMU-Budget lässt sich dieses Know-how leider nicht kaufen.

Hinweis: Dies ist meine persönliche Erfahrung, das muss nicht auf alle zutreffen.

Hier ist etwas zu beachten. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Korrigiert mich falls ich falsch liege.

Der am häufigsten übersehene Punkt bei SIEM-Service ist dieser: Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Viel Erfolg.

Ich probiere es aus. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Das war's, entschuldige, wenn ich zu lang war.

Ich erzähle mal, was mir passiert ist, vielleicht hilft es euch. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste. An deiner Stelle würde ich so vorgehen.

Ich stimme zu.

Da stimme ich zu. naja wenn ihr es zum ersten Mal macht fangt klein an die Skalierung kommt später.

Ich sehe das anders. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus. Das war's, entschuldige, wenn ich zu lang war.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Ich hoffe, das hilft dir weiter.

Da stimme ich zu. also wenn man Fehlalarme anschreit meldet sich danach niemand mehr.

Ich werde das Gegenteil vertreten, bitte nicht böse sein. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet. Das war's, entschuldige, wenn ich zu lang war.