Open Source basierte SIEM-Systeme im Vergleich
Spätestens seit den NIS2-Anforderungen für mittlere Unternehmen, die nicht mehr nur unter das KRITIS-Gesetz fallen, erfahren SIEM-Systeme eine hohe Nachfrage. Dominierend sind die amerikanischen Hersteller, die aber auch sehr kostenintensiv sind. Daher schauen wir auch immer wieder ins Open-Source-Lager und bewerten die dortigen Projekte auf ihre Alltagstauglichkeit. Hier spielen sich in den letzten Jahren vornehmlich zwei Lösungen in den Vordergrund: Wazuh und Elastic Security. Welches System letztendlich aus unserer Sicht die Nase vorn hat, verraten wir ihnen in diesem kurzen Newsartikel.
SIEM-Systeme zur Anomalie-Erkennung gibt es schon seit über 20 Jahren auf dem Sicherheitsmarkt zu kaufen. Fristeten sie wie bereits die Intrusion-Detection-Systeme in der Vergangenheit ein Nischendasein, so hat sich das durch die Gesetzes- und Cyberkriminalitätslage inzwischen verändert. Letztere arbeiten oftmals mit Künstlicher Intelligenz (KI), um an die wertvollen Daten von Unternehmen heranzukommen und diese dann zu erpressen. Dagegen sind traditionelle Sicherheitslösungen wie Anti-Viren-Systeme oder Firewalls machtlos. Wie gut die KI inzwischen für Angriffe eingesetzt werden kann, verdeutlicht der jüngste Fall von Open AI, bei dem ein Sicherheitstest außer Kontrolle geraten ist und bei dem das IT-Unternehmen Hugging Face gehackt wurde. Ein vorher isoliertes KI-System ohne Internet-Zugang hackte unsichere Systeme in seinem Netzwerk und schaltete sich selbst online. Anschließend griff es das Unternehmen Hugging Face an, ohne von einem Menschen dazu ermutigt worden zu sein.
Der Fall zeigt, dass wir zur Abwehr solcher Angriffe ein Anomalie-Erkennungssystem brauchen, das in der Lage ist zwischen Normal- und Anomalie-Verhalten zu unterscheiden, ohne sich auf feste Angriffsmuster von Security-Herstellern verlassen zu müssen. SIEM-Systeme ermöglichen es Logeinträge von diversen Systemen (Firewall, AV-Systeme, Server, Clients etc.) zu sammeln und zu korrelieren, um daraus Anomalien ableiten zu können. Die Open Source Systeme (OSS) Wazuh und Elastic Security ermöglichen dies ebenfalls. Aber wie gut sind dazu beide Systeme in der Lage? Dies soll die nachstehende Tabelle aufzeigen.
Wie man an ihr erkennen kann, hat Elastic Security bereits in der Basisversion die Nase vorn. Während Wazuh stark beim Endpoint-Monitoring, File Integrity Monitoring (FIM) und Compliance-Überwachung ist, verbindet Elastic die gesamte Security-Datenlandschaft miteinander. So können verschiedene Hersteller, Cloud-Dienste und Sicherheitssysteme zentral angebunden werden. Der Vorsprung entsteht durch Integrationen, ECS-Normalisierung und bereits mitgelieferten Detection Content. Das Elastic Common Schema (ECS) ermöglicht es die unterschiedlichsten Datenformate zu normalisieren und miteinander vergleichbar zu machen. Wazuh arbeitet zwar auch bereits in der Version 5.x an einer ähnlichen Lösung, hat sie bis heute aber nicht auf den Markt gebracht. Zusätzliche Vorteile von Elastic Security ergeben sich aus hunderten vorgefertigten Erkennungsregeln und den Elastic-Agenten für beliebige Betriebssystemplattformen, die zusätzlich auch als Anti-Viren- und Endpoint-Security-Lösung genutzt werden können.
Unsere ScanBox-Lösung basiert auf Elastic Security und ermöglicht noch weitere Leistungsmerkmale: www.scanbox-product.de . Bei weiteren Fragen kommen Sie daher gerne auf uns zu.