CyberGlossary

Verteidigung und Betrieb

SIEM

Definition

Plattform, die Sicherheits-Telemetrie aus dem gesamten Unternehmen aggregiert, normalisiert und korreliert, um Erkennung, Untersuchung, Compliance und Reporting zu ermöglichen.

Security Information and Event Management (SIEM) ist die zentrale Log-Analytics-Plattform eines SOC. Es nimmt Logs und Telemetrie von Firewalls, Endpunkten, Identity-Providern, Cloud-APIs, Anwendungen und Netzwerk-Sensoren auf, normalisiert sie und legt sie ab, sodass Korrelationsregeln, statistische Baselines und ML-Modelle priorisierte Alarme erzeugen. Moderne SIEMs (Splunk, Microsoft Sentinel, Elastic, Chronicle, QRadar) unterstützen Detection-as-Code, UEBA, Threat-Intelligence-Anreicherung und SOAR-Integration für automatisierte Reaktion. Das SIEM ist das führende System für Incident-Untersuchungen, Compliance-Reporting und langfristige forensische Aufbewahrung.

Beispiele

  • Microsoft Sentinel korreliert fehlgeschlagene Azure-AD-Anmeldungen mit EDR-Alerts zur Erkennung von Password-Spraying.
  • Eine Splunk-Korrelation, die feuert, wenn sich ein Service-Konto aus einem ungewöhnlichen Land anmeldet.

Verwandte Begriffe