Publikation von Christoph Puppe
Guter Griff: Datamining bei Meldungen von Sicherheitssystemen
Einführung in das damals junge Feld Security Information Management, mit Marktüberblick über zwölf Anbieter von ArcSight über netForensics bis zum Open-Source-Projekt OSSIM. Das Problem: In größeren Netzen fallen mehrere Millionen sicherheitsrelevante Meldungen pro Tag an, und selbst der motivierteste Administrator sieht den Wald vor lauter Bäumen nicht mehr. Das SIM soll sammeln, korrelieren und auf die Vorfälle eindampfen, die menschliches Eingreifen verlangen; das Lehrbeispiel ist der Wurm, dessen hunderte Firewall- und IDS-Meldungen zu einem einzigen Ereignis zusammenschmelzen. Dazu die handwerklichen Fallstricke: Syslog und SNMP transportieren unauthentifiziert und unverschlüsselt, Basel II und ISO 17799 treiben die Datenbankgrößen, ein Wurmausbruch flutet die WAN-Strecken. Kernstück ist eine bis heute brauchbare Checkliste mit über 15 Fragen vor der Anschaffung, vom früh eingebundenen Betriebsrat bis zur revisionssicheren Speicherung. Die früheste Fassung der Frage, die zwanzig Jahre später „Die SIEM-Metamorphose“ stellt: Wie trennt man Signal von Rauschen, ohne am Volumen zu scheitern?