Siem - das „bessere“ Prism?

Im Jahr 2012 führte die Corporate Trust GmbH eine Studie mit dem Titel „Industriespionage 2012 - Aktuelle Risiken für die deutsche Wirtschaft durch Cyberwar“ durch. Darin heißt es, dass bereits 20 Prozent der befragten Unternehmen von Spionagevorfällen betroffen sind. Berücksichtigt man die nicht weiter konkretisierten oder nicht eindeutig nachgewiesenen Fälle, steigt der Anteil auf 54 Prozent an.

Dabei ist deutschlandweit ein Schaden von 4,3 Milliarden Euro entstanden. In mehr als der Hälfte der Fälle konnten Mitarbeiter als Urheber identifiziert werden.

Ein Ansatz um derartige Bedrohungsszenarien zu erkennen, ist die Einführung eines Security Information and Event Management (Siem)-Systems. Dies bietet Möglichkeiten zur zentralen Sammlung und Auswertung von Log-Meldungen aller angebundenen Komponenten. Auch die Verknüpfung von Log-Meldungen unterschiedlicher Systeme (Korrelation) ist möglich.

Bekannte Angriffsmuster beziehungsweise auch Abweichungen vom Normalverhalten können nahezu in Echtzeit erkannt und entsprechende Gegenmaßnahmen eingeleitet werden. Doch stellt sich die Frage, was ist erlaubt beim Schutz vor Angriffen? Siem-Systeme bieten die technische Möglichkeit, Mitarbeiter zu überwachen und detaillierte Profile zu erstellen. Der Schritt zu einem firmeninternen Prism ist nicht mehr weit. Diesem gilt es mit Hilfe von Regeln und technisch sinnvollen Beschränkungen entgegenzuwirken.

Um die aufgeworfene Frage richtig betrachten zu können, muss zuerst das Vorgehen eines Siem-Systems verstanden werden. Dieses lässt sich in drei Ebenen unterteilen. Auf der untersten Ebene finden sich Log-Meldungen, die von den angeschlossenen Systemen erzeugt werden. Abhängig von der Log-Quelle werden die Log-Meldungen selbständig an das System übermittelt, wie es beispielsweise bei Routern konfiguriert werden kann. Auch ein periodisches Abholen der Log-Meldungen von der Log-Quelle ist abbildbar.

In der mittleren Ebene erfolgt eine Vorverarbeitung der Log-Meldungen. Neben der Filterung und Normalisierung, was einem Überführen der verschiedenartigen Meldungen in ein einheitliches und vom Tool verständliches Format entspricht, werden die Log-Meldungen dabei auch zusätzlich aggregiert und kategorisiert. Die Notwendigkeit hierzu leitet sich aus der schieren Vielzahl unterschiedlicher Log-Meldungen und Log-Formate ab. Nach Abschluss der Vorverarbeitung werden die verbleibenden Log-Meldungen als Events bezeichnet.

In der obersten Ebene (Event Monitoring System) beginnt die eigentliche Aufgabe eines Siem-Systems: Hier werden die Events korreliert. Dazu sind im Tool Regeln hinterlegt, die in nahezu Echtzeit auf die Menge der eingehenden Events angewandt werden. Eine Regel wird aktiviert, wenn mindestens ein passendes Event erkannt wurde; eine Regel „feuert“, wenn alle notwendigen Events eingetroffen sind.

Kernstück eines jeden Siem-Systems sind die vorhandenen Regeln. Mit der Qualität dieser steht und fällt die Leistungsfähigkeit eines jeden Systems. Um dies sicherzustellen, werden Mitarbeiter benötigt, die zum einen ein sehr breites Wissen über verschiedenste Technologien besitzen. Zum anderen müssen diese aber auch in ständig wechselnden Spezialgebieten schnell tiefgreifendes Analysewissen aufbauen können. Nicht zu vergessen sind ausgeprägte organisatorische Fähigkeiten.

Folglich nimmt der Mitarbeiter eine zentrale Rolle ein, die besondere Rechte und Pflichten zur Ausführung seiner Tätigkeiten bedingen. Dies ist besonders dann zu beachten, wenn sich Benutzerdaten in den Log-Meldungen finden - was praktisch niemals ausgeschlossen werden kann. Insofern ist der Verdacht naheliegend, ein Siem-System führe automatisch zu gläsernen Mitarbeitern, ähnlich dem in der Presse viel zitierten und kritisierten Prism der NSA. Dem muss jedoch nicht so sein.

Technisch gesehen kann ein Siem-System die Tätigkeiten von Mitarbeitern relativ exakt sammeln und auswerten, sofern eine möglichst lückenlose Protokollierung durchgängig konfiguriert ist. Ein gläserner Mitarbeiter wäre damit denkbar. Jedoch existieren technische als auch organisatorische Möglichkeiten genau dies zu verhindern:

Die erste Möglichkeit bilden Log-Policies. Diese Form von Richtlinien legen auf einer organisatorischen Ebene alle Anforderungen hinsichtlich der allgemeinen Protokollierung fest. Ein Beispiel hierzu ist die Generierung von erfolgreichen und nicht erfolgreichen Anmeldeversuchen. Basierend auf der allgemeinen Protokollierungsrichtlinie leitet sich pro Log-Quelltyp eine technisch konkretisierte Log-Policy ab. Hier werden alle notwendigen Konfigurationseinstellungen für die jeweilige Log-Quelle zur Umsetzung der allgemeinen Log-Policy detailliert beschrieben. Damit wird sichergestellt, dass möglichst nur die Ereignisse protokolliert werden, die später im Rahmen der Auswertung auch von Interesse sind. Dies geht Hand in Hand mit dem Prinzip der Datensparsamkeit aus dem Bundesdatenschutzgesetz (BDSG). Unabdingbar ist hier die Einbeziehung des Datenschutzbeauftragten und des Betriebsrats.

Eine weitere Möglichkeit besteht im Rollen- und Rechtekonzept des Siem-Systems. So muss sichergestellt sein, dass dem Need-To-Know Prinzip Rechnung getragen wird, das heißt, die Zugriffsrechte der Siem-Benutzer sind so restriktiv wie möglich zu definieren. Auch muss die Anzahl der Siem-Benutzer möglichst klein und diese namentlich benannt sein.

Auch wenn ein ausgefeiltes Rollen- und Rechtekonzept zum Einsatz kommt, verbleibt ein Nachteil: Der Siem-Benutzer kann die Identität des Log-Verursachers einsehen. Damit lassen sich möglicherweise Bewegungsprofile erstellen, die direkt einem Benutzer zugeordnet werden können. Dieser Personenbezug stellt eine der größten Herausforderungen beim Aufbau eines Siem-Systems dar, wobei hierzu mittlerweile meist technische Lösungsmöglichkeiten existieren. Anonymisierung beziehungsweise Pseudonymisierung ermöglichen das Verschleiern der wahren Identität.

Weiter verbleibt die regelmäßige Kontrolle der Siem-Lösung beziehungsweise der zurückliegenden Analysen und Auswertungen. Hierzu muss eine geeignete Stelle im Unternehmen gefunden werden. Naheliegend ist die Einbindung der Revision.

Es empfiehlt sich weiter eine breite Akzeptanz zum Thema Log-Auswertung und -Analyse im Unternehmen zu schaffen. Dies gelingt durch eine frühzeitige Einbeziehung eines jeden Einzelnen. So bietet sich beispielsweise die gemeinsame Erarbeitung von technischen Log-Policies mit den jeweiligen Fachbereichen an.

In diesem Zusammenhang wird deren Fachwissen genutzt und die Funktionsweise eines Siem-Systems weiter vermittelt, was letztlich in einem höheren Vertrauen auf Basis größerer Transparenz mündet. Darüber hinaus muss frühzeitig mit Betriebsrat, Datenschutz und Revision gesprochen werden. Haben diese die Möglichkeit, das Projekt aktiv mitzugestalten, ist ihre Unterstützung meist sicher.

Michael Sepp, Consultant bei der Secaron AG; Thomas Mörwald, Senior Consultant bei der Secaron AG