Dynamische Cyberabwehr

SIEM (Security Information and Event Management) ist eine wichtige Sicherheitsschicht für Unternehmen und Behörden, um ihre Protokollierungsfunktionen zu zentralisieren. Sie überwacht die IT-Infrastruktur, erkennt Bedrohungen, reagiert auf Sicherheitsvorfälle und unterstützt dabei Compliance-Anforderungen zu erfüllen.

Um Gefahrenpotenzial zu erkennen, sammeln SIEM-Systeme Protokoll- und Ereignisdaten aus verschiedenen Quellen wie Firewalls, Netzwerkgeräten, Servern und Anwendungen. In großen IT-Infrastruktursystemen kommt so eine hohe Anzahl an Informationen zusammen, wobei die Komplexität dieser Daten stetig zunimmt. Dies erschwert es bestehenden SIEM-Systemen, alle Zusammenhänge in Echtzeit zu analysieren und Verhaltensanalysen zu erstellen. Gleichzeitig bleiben die möglichen Bedrohungen, denen IT-Systeme von Behörden ausgesetzt sind, vielfältig. Der potenzielle Schaden innerhalb kritischer Infrastruktur kann besonders hoch sein.

Herkömmliche SIEM-Systeme stoßen angesichts der sich schnell entwickelnden Cyber-Sicherheitslandschaft auf erhebliche Defizite.  Sie konzentrieren sich typischerweise auf Protokolle und Ereignisse aus herkömmlichen Quellen wie Firewalls und Servern. Die großen Datenmengen, die durch moderne Technologien generiert werden, können das bestehende System an seine Kapazitätsgrenze bringen. Das belastet die Analysegenauigkeit und Performanz.  Zudem basieren ältere SIEM-Lösungen auf regelbasierten Korrelationen zur Bedrohungserkennung, was zu einem statischen Charakter führt, der regelmäßige manuelle Regelaktualisierungen erfordert.

Next Generation SIEM erfasst sowohl Protokoll- als auch Flussdaten und verwendet dynamische Modelle, um die Art der Bedrohungen zu bestimmen und sie nach Schweregrad und Kritikalität zu klassifizieren.

Hierbei handelt es sich um KI-Modelle, die Bedrohungsverhalten erkennen und einer bestimmten Art von Bedrohung zuordnen können, zum Beispiel einem DDoS-Angriff im Vergleich zu einem Brute-Force-Angriff, einer Malware-Infektion, dem Verlust von Anmeldeinformationen durch Advanced Persistent Threats (APTs) oder einem Insider-Angriff. Dabei wird maschinelles Lernen genutzt, um Verhaltensweisen zu erkennen, die für das jeweilige Gerät, eine bestimmte Anwendung oder eine Benutzerin oder einen Benutzer ungewöhnlich sind. Diese Anomalien werden dann mit anderen Regelauslösern korreliert.

Die KI lernt kontinuierlich auf der Grundlage echter und KI-generierter Trainingsszenarien, sich auf neue Bedrohungen einzustellen. Dadurch ist das System in der Lage, im Laufe der Zeit potenzielle Sicherheitsverstöße vorhersagen und präventive Maßnahmen einzuleiten.

Vorteile:

Durch die Integration von KI gehen Next Generation SIEM über herkömmliche, regelbasierte Frameworks hinaus. Diese Integration trägt der zunehmenden Komplexität und dem zunehmenden Umfang von Cyber-Bedrohungen Rechnung und macht die Cybersicherheit proaktiver und nachrichtendienstlicher. 

Next Generation SIEM priorisieren proaktive Sicherheitsmaßnahmen und umfassen kontinuierliche Überwachung, Bedrohungssuche und Reaktion auf Vorfälle, um aufkommenden Bedrohungen schnell entgegenzuwirken.