SIEM aggregiert Logs aus der gesamten Infrastruktur, korreliert Ereignisse und erkennt Sicherheitsvorfälle.

Wie SIEM funktioniert¶

1. Log-Sammlung aus allen Quellen
2. Normalisierung und Parsing
3. Ereigniskorrelation
4. Anomalie- und Regelerkennung
5. Alerting und Response

Open-Source SIEM¶

• Wazuh: HIDS + SIEM, agentenbasiert
• Elastic SIEM: Elasticsearch + Kibana + Detection Rules
• Grafana Loki + Promtail: Leichtgewichtige Log-Aggregation

Detection Rules¶

SIEM-Grundlagen — Security Information and Event Management¶

• rule: name: Multiple Failed Logins type: threshold query: ‘event.category:authentication AND event.outcome:failure’ threshold: field: source.ip value: 10 severity: high interval: 5m

Wichtigste Erkenntnis¶

SIEM = zentrale Sichtbarkeit. Wazuh für kleines Budget, Elastic SIEM für Flexibilität, Splunk/Sentinel für Enterprise.