Unser IT-Dienstleister will ein SIEM-System einführen – was genau ist das und brauchen wir das wirklich?

Einer 18-Mann-Bude ein SIEM aufzuschwatzen ist buchstäblich mit Kanonen auf Spatzen geschossen. Wenn niemand im Team Vollzeit Logs analysiert, mutiert das Ding bloß zu einem teuren Festplattenfresser. Der Dienstleister will sich hier nur eine feste monatliche Einnahmequelle sichern – dankend ablehnen.

Ich war mal in einer ähnlich großen Importfirma, uns wurden damals dieselben Märchen erzählt. Wir haben 6 Monate lang jeden Monat 45.000 RUB geblecht. In der ganzen Zeit waren sämtliche Alarme Fehlalarme, kein Mensch hat die Berichte überhaupt gelesen. Im siebten Monat haben wir gekündigt und die Kohle lieber in vernünftige Backup-Hardware gesteckt.

Ohne sauber gepflegte Korrelationsregeln bringt ein SIEM rein gar nichts. Eure Firewall und die Windows-Kisten produzieren locker hunderttausende Logzeilen am Tag. Allein um das wegzuspeichern, braucht man massig Plattenplatz. Wahrscheinlich schmeißt euch der Dienstleister einfach nur irgendein Open-Source-Tool auf die Kiste und lässt es liegen.

Für 18 PCs ein SIEM zu verticken ist schon beachtlicher geschäftlicher Mut. Lasst euch nicht wundern, wenn als Nächstes ein bewaffneter Wachdienst rund um die Uhr und Drehkreuze mit Fingerabdruckscanner auf dem Angebot stehen.

lass mal, vollkommen unnötig ums geld. also vernünftige firewall-regeln, überall 2fa an und ordentlich backups machen, reicht völlig. siem ist was für großbanken und konzerne.

Vor jedem Gedanken an SIEM erstmal Folgendes abhaken: 1) Ist der RDP-Port zum Buchhaltungsserver direkt nach außen offen? 2) Läuft auf jedem Client ein lizenzierter Endpoint-Schutz? 3) Gibt es Offline-Backups? Wenn da auch nur ein Punkt fehlt, rettet euch kein SIEM der Welt.

Sofern für Ihre Branche im Bereich Zoll und Transport keine gesetzliche Vorschrift den Betrieb eines SIEM zwingend verlangt, widerspricht eine solche Investition bei dieser Betriebsgröße jeglicher wirtschaftlichen Vernunft.

Der Tenor ist eindeutig: Für 18 Leute ist ein SIEM verbranntes Geld. Statt 160.000 RUB Setup und 55.000 RUB monatlich fahrt ihr mit 2FA, solidem Endpoint-Schutz und Offline-Backups um Längen sicherer und realistischer.

Ich möchte etwas fragen. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

gespeichert.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Nur als Notiz, könnte nützlich sein.

Das hatte ich auch schon überlegt. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Aus Erfahrung weiß ich das.

Ich probiere es aus.

Beim Umsetzen gibt es drei Dinge zu beachten. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor. Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich bin derselben Meinung. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern. Wenn es jemand anders macht, würde mich das auch interessieren.

Dieser Rat passt meiner Meinung nach nicht auf jeden. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Aus Erfahrung weiß ich das.

Mich interessiert das auch.