Cyberangriffe erkennen Die Rolle von SIEM-Systemen in Zeiten von XDR

Anbieter zum Thema

Insider Research

Pathlock Deutschland GmbH

Arctic Wolf Networks Germany GmbH

Sind aufstrebende XDR-Systeme bei der Detektion von Cyberangriffen ein vollwertiger Ersatz für klassische SIEM-Systeme? Schließlich arbeiten diese in zwischen oft mithilfe von KI und können immer mehr. Rosige Zeiten für Security-Analysten als? Oder sollte man die Situation vielleicht noch einmal genauer betrachten?

Lange Zeit galten Security Information und Event Management (SIEM) Systeme als das Herzstück der Detektion von Cyberangriffen. Die Aufgabe von SIEM-Systemen ist das Sammeln und Analysieren der Anwendungs- und Infrastruktur-Logfiles unterschiedlichsten Typs. In SIEM-Systemen ist es möglich mit Korrelationsregeln über mehrere Logquellen und somit auch Logformate hinweg Angriffsindikatoren (Indicators of Compromise, kurz IoC) festzustellen. Die Entwicklung und vor allem die Pflege dieses häufig sehr komplexen Regelwerks ist jedoch ein sehr aufwändiger Prozess. Dieser erfordert sowohl tiefgehendes Wissen über heterogene IT-Systemlandschaften hinweg als auch spezialisiertes Detailwissen für bestimmte Systeme. Außerdem müssen die sich stetig ändernden, aktuellen Bedrohungsszenarien miteinbezogen werden. Daher ist es mit der initialen Regelentwicklung für Use Cases nicht getan. Die Wartung und Weiterentwicklung von Regeln ist vielmehr ein stetiger Prozess im Lifecyclemangement eines SIEMs.

Extended Detection and Response

Aber nicht nur IT-Systeme entwickeln sich, sondern auch die von vielen Herstellern hoch angepriesenen EDR-Systeme (Endpoint Detection and Response). EDR ist aus den Endpoint-Detection-Platforms (EDP) wie Virenscannern hervorgegangen und erweitert die reine Detektion von IoCs direkt auf den Endpunkten, um ein reagierendes Element. Es können je nach Schweregrad einer festgestellten Kompromittierung unterschiedliche mitigierende Aktionen bis hin zur kompletten Isolation eines Clients automatisiert ausgeführt werden. Neben Endpoint-fokussierten Systemen, wie EDR, existieren beispielsweise auch auf das Netzwerk optimierte Detektions- und Reaktions-Systeme (NDR). Die Verknüpfung mehrerer dieser Systeme, aus EDR, NDR und weiteren ähnlich gelagerten Systemen, wird als Extended Detection und Response (XDR) bezeichnet. Während diese Systeme anfangs ihre Versprechen kaum halten konnten und noch nicht ausgereift waren, existieren heute mächtige und häufig durch KI unterstützte XDR-Lösungen.

Auf den ersten Blick stellen diese die klassischen und aufwändig zu pflegenden Korrelationsregeln eines SIEM in den Schatten. XDR-Systeme wie Cortex von Palo Alto und die Microsoft Defender Plattform decken Use Cases für die gängigen Infrastrukturen ab. XDR-Systeme normalisieren im Hintergrund Logs und ergänzen diese mit Informationen aus verhaltensbasierten Profilen von Nutzern und Hosts, mit deren Hilfe Security Events zu Incidents verknüpft werden können. Sie vereinfachen die Arbeit der Analysten in einem Security Operations Center (SOC) damit stark.

Doch so gut diese hoch-optimierten Detektions- und Response Systeme auch sind, ein SIEM ersetzen können diese nicht. Vor allem, wenn man die reale Komplexität von Enterprise IT-Landschaften mit einbezieht. Im Folgenden wollen wir uns daher die praxisrelevanten Aspekte einmal genauer anschauen.

XDR-Evasion und Compromise-Assessment

Ein Angreifer mit erweitertem technischem Knowhow kann bekannte Techniken einsetzen, um der Detektion der XDR-Lösung zu entgehen oder diese mit entsprechenden Rechten eines bereits kompromittierten Accounts zu deaktivieren. Anschließend bleibt quasi nur noch eine Illusion von Sicherheit und stark geminderte Möglichkeiten, nachgelagert das Ausmaß und den Schaden des Angriffs im Rahmen eines Compromise Assessments festzustellen. Denn schließlich könnte der Angreifer die Log-Daten vom Endpunkt entfernen. Sollten diese nicht zeitnah an einer zentralen Stelle gesammelt werden, stünden die Logs nicht mehr für forensische Analysen zur Verfügung. Als Folge können Angreifer möglicherweise unbemerkte Hintertüren hinterlassen, um weiterhin unautorisierten Zugriff in das Netzwerk des Opfers zu haben. Eine Realtime-SIEM-Überwachung und Langzeitsicherung von Logdaten aller Systeme mithilfe von hochprivilegierten Agents auf den Endpunkten bietet hier eine zusätzliche Schicht der Sicherheit. Zum einen erhöht dieses Vorgehen das Risiko für Angreifer, trotz XDR-Umgehungsmaßnahmen detektiert zu werden. Zum anderen steigert es die Erfolgswahrscheinlichkeiten, nach einem erfolgreichen Angriff den Schaden und die betroffenen Systeme zu identifizieren und entsprechende Maßnahmen einzuleiten. Im Idealfall greift bereits ein SIEM Use Case beim Deaktivieren des XDR-Agents ein und verhindert so Schlimmeres.

Allgemeine Werbeversprechen – für hochspezifische Enterprise IT-Umgebungen

Administratoren stehen häufig vor der Aufgabe, die Konfiguration der spezifischen XDR-Lösungen korrekt auf die Umgebung und den Anwendungsfall zuzuschneiden, ohne den operativen Betrieb einzuschränken. Weiterhin benötigt die Integration dieser Lösung in bestehende SOC-Prozesse oft eine abteilungs- oder fachbereichsübergreifende Koordination von automatisierten und halbautomatisierten Reaktionen. Zudem ist ein Expertenteam erforderlich, das sich um das Tuning kümmert, also die Optimierung der verhaltensbasierten Sicherheitsüberwachung der XDR-Lösungen. Auch die auf Machine Learning basierenden Algorithmen zur Erkennung von Anomalien benötigen eine Vorlaufzeit, um sich auf die Aktivitäten in der jeweiligen Umgebung anzupassen.

Marketing-Versprechen und Praxis liegen leider oft auseinander: So wird rund um verschiedene XDR-Lösungen oft mit einer hohen Genauigkeit und einem großen Umfang der Überwachung ohne große Extraaufwände geworben. In der Realität stehen Teams, welche sich eine Qualitätserhöhung und Ressourcenersparnis in der Sicherheitsüberwachung erhofft hatten, oft vor großen Herausforderungen, um die Alarmierung der XDR auf das erwartete Niveau zu bringen. Zudem haben viele Unternehmen während des jahrelangen Aufbaus von IT-Umgebungen hochkomplexe und heterogene Enterprise-Umgebungen geschaffen, in denen diverse fachlich und operativ bedingte Unregelmäßigkeiten die Genauigkeit der XDR-Detektion negativ beeinflussen und etwa False-Positive Alarme erzeugen. Dies wird insbesondere durch die intransparente Natur der proprietären Algorithmen und die internen Detektionsregeln der EDR-Lösungen erschwert.

Diese Intransparenz erzeugt neue Herausforderungen für Compliance und Regulatorik. Häufig sind Erkennungsszenarien (Use Cases) nur abstrakt beschrieben und dokumentiert. Dies kann eine Argumentation mit Regulatoren erschweren und zu einem falschen Sicherheitsgefühl führen, bei dem die Verantwortung zur Auseinandersetzung mit der eigenen Security Posture komplett an die Third-Party XDR-Lösung abgegeben wird. Weiterhin sind je nach Unternehmensgröße oft eine hohe Anzahl an Eigenentwicklungen, Third-Party Appliances und Netzwerkinfrastruktur im Einsatz, die keine Integration mit der eingesetzten XDR-Lösung haben und somit wenig, bis keinen Beitrag zur gestützten Detektion leisten können. Dies erhöht die Komplexität beim Tuning weiter, da dem XDR Datenquellen zur adäquaten Einschätzung des Kontextes von Log-Daten fehlen. SIEM-Systeme hingegen bieten die Möglichkeit, eine maßgeschneiderte Lösung für ein transparentes und nachvollziehbares Reporting zu schaffen, während XDR-Lösungen oft die Sicherheit erhöhen, aber die Komplexität im Umgang und Nachweis mit ebendiesen Richtlinien erhöhen.

XDR und SIEM: Ergänzung statt Verdrängung

Um die Detektions- und Alarmierungsmöglichkeiten zu optimieren, gilt es, die Stärken von SIEM- und XDR-Systemen zu kombinieren. Im SIEM normalisierte Logs eröffnen die Möglichkeit, bestimmte Angriffsindikatoren über verschiedene Systeme hinweg zu erkennen. Um die Zahl der Security Incidents, die am Ende von Analysten bearbeitet werden, zu reduzieren, sollte man bei jedem von einem XDR emittierten Incident einen Alarm über das SIEM auslösen. Ohne nennenswerten Aufwand kann in einem SIEM geprüft werden, ob weitere Alarme mit gleichem Username oder gleicher Source IP im entsprechenden Zeitraum aufgetreten sind. So wird der Bedarf an Analysten sowie der Aufwand pro Incident durch ein reduziertes Alarmvolumen mit erhöhter Aussagekraft optimiert. Man kann also festhalten: Nur zusammen durch eine auf die Umgebung angepasste Kombination von SIEM und XDR erreicht die IT-Infrastruktur ein neues Sicherheitsniveau und kann sich der durch viele Faktoren beeinflussten Bedrohungslage dynamisch anpassen.

Über die Autoren

• Louis Neumann ist Cyber Defense Consultant bei SECUINFRA,

• Julian Weber ist Cyber Security Consultant bei SECUINFRA GmbH.

(ID:49998161)