SIEM

Problem

Sicherheitsrelevante Ereignisse treten auf in: Firewalls Server Entra ID Anwendungen Endpunkte Wenn man jedes System separat betrachtet, sind koordinierte Angriffe schwer zu erkennen.

Lösung — SIEM

SIEM steht für Security Information and Event Management. Es sammelt Sicherheitsprotokolle und verbindet damit zusammenhängende Ereignisse, um verdächtige Aktivitäten zu erkennen. Microsoft Sentinel stellt dies in Azure bereit: Datenkonnektoren bringen Protokolle ein, Analyseregeln suchen nach Mustern wie wiederholten fehlgeschlagenen Anmeldungen, gefolgt von einem verdächtigen Erfolg, und Matching-Ereignisse generieren Warnungen, die in Vorfällen zur Untersuchung gruppiert werden können.

Identitätslogs ─┐
Firewall-Logs ─┼→ SIEM → Erkennung
Server-Logs ───┘

Kerngedanke: SIEM kombiniert Sicherheitstelemetrie, so dass Muster über Systeme hinweg erkannt werden können.