Analyse von Sicherheits-Logs | Decripte Security

Logs sind grundlegende Aufzeichnungen für die Erkennung, Untersuchung und Reaktion auf Sicherheits- vorfälle. Die strukturierte Log-Analyse ermöglicht es, bösartige Aktivitäten zu identifizieren, Angriffs-Timelines zu rekonstruieren und die Compliance mit Vorschriften aufrechtzuerhalten.

Wesentliche Log-Typen

System-Logs: Windows Event Logs, syslog unter Linux/Unix, Boot- Protokolle, Systemfehler, Konfigurationsänderungen.

Anwendungs-Logs: Logs von Webanwendungen, Datenbanken, Application Servern, APIs, Containern.

Netzwerk-Logs: Firewalls, Switches, Router, IDS/IPS, Proxies, VPNs, DNS.

Sicherheits-Logs: EDR/XDR, Antivirus, DLP, WAF, Authentication-Server (AD, LDAP, SSO).

Zugriffs-Logs: Authentifizierungs-Logs, Login-Versuche, Privilegien- eskalationen, Zugriffe auf sensible Ressourcen.

Cloud-Logs: CloudTrail (AWS), Activity Logs (Azure), Cloud Audit Logs (GCP), Logs von SaaS-Diensten.

SIEM - Security Information and Event Management

SIEM ist die zentrale Plattform für die Erfassung, Normalisierung, Korrelation und Analyse von Logs aus mehreren Quellen in Echtzeit.

Zentralisierte Erfassung: Agents, syslog, APIs und File Collectors aggregieren Logs aus der gesamten Infrastruktur in einem zentralen Repository.

Normalisierung: Logs in unterschiedlichen Formaten werden in ein gemeinsames Format (Common Event Format, JSON) konvertiert, um eine einheitliche Analyse zu ermöglichen.

Ereigniskorrelation: Regelbasierte und Machine-Learning-Ansätze identifizieren Muster, die isoliert harmlos erscheinen, zusammen aber auf einen Angriff hindeuten.

Alerts und Dashboards: Echtzeit-Visualisierung von Sicherheitsereignissen und Generierung von Alerts für das SOC-Team.

Aufbewahrung und Compliance: Langzeitspeicherung für Compliance (LGPD, PCI-DSS usw.) und zukünftige Untersuchungen.

Führende SIEM-Plattformen

Splunk: Marktführer, äußerst flexibel, mit einer mächtigen Such- sprache (SPL) und einem riesigen Ökosystem aus Apps und Add-ons.

Elastic Stack (ELK): Elasticsearch, Logstash, Kibana. Open-Source, hochgradig skalierbar, hervorragend für Suche und Ad-hoc-Analyse.

IBM QRadar: Stark in der Ereigniskorrelation, Integration mit Threat Intelligence, geeignet für regulierte Umgebungen.

Microsoft Sentinel: Cloud-natives SIEM, tiefe Integration mit Azure und M365, KI für die Bedrohungserkennung.

Graylog: Open-Source, eine gute Alternative für kleinere Organisationen, mit einer intuitiven Oberfläche.

Anomalieerkennung

Über bekannte Regeln hinaus erkennt die Anomalieanalyse statistische Abweichungen vom normalen Verhalten:

Verhaltens-Baseline: Festlegen normaler Aktivitätsmuster von Benutzern, Systemen und Netzwerken (Zugriffszeiten, Datenvolumen, aufgerufene Endpoints).

Machine Learning: ML-Algorithmen identifizieren Abweichungen von der Baseline. Nützlich zur Erkennung von Insider Threats und ausgefeilten Angriffen.

UEBA (User and Entity Behavior Analytics): Verhaltensanalyse von Benutzern und Entitäten (Geräte, Anwendungen) zur Erkennung kompromittierter Konten.

Peer Group Analysis: Vergleich des Benutzerverhaltens mit Peers in derselben Abteilung/Funktion, um Ausreißer zu identifizieren.

Kritische Sicherheits-Use-Cases

Brute Force Attacks: Mehrere Authentifizierungsfehler gefolgt von einem Erfolg, insbesondere von externen IPs oder außerhalb der Geschäftszeiten.

Privilege Escalation: Unautorisierte Rechteausweitung, Nutzung von administrativen Befehlen durch reguläre Konten.

Lateral Movement: Anomale Verbindungsmuster zwischen internen Systemen, Nutzung von Remote-Administrationsprotokollen.

Data Exfiltration: Anomale Volumina ausgehender Datenübertragungen, insbesondere außerhalb der Geschäftszeiten oder an ungewöhnliche Ziele.

Malware Execution: Erstellung verdächtiger Prozesse, Registry- Änderungen, C2-Verbindungen, Änderungen an Systemdateien.

Account Compromise: Zugriff von geografisch unmöglichen Standorten, Passwortänderungen gefolgt von verdächtiger Aktivität.

Ereigniskorrelation

Die Korrelation identifiziert Beziehungen zwischen Ereignissen, die isoliert nicht auf einen Angriff hindeuten würden:

Time-based Correlation: Zusammenhängende Ereignisse, die innerhalb eines nahen Zeit- fensters auftreten (z. B. Login-Fehler + Firewall-Änderung + Datenzugriff).

Entity-based Correlation: Mehrere Ereignisse, die sich auf dieselbe Entität (Benutzer, IP, Host) beziehen und ein verdächtiges Muster bilden.

Kill Chain Correlation: Eine Abfolge von Ereignissen, die die Phasen der Kill Chain abbildet (reconnaissance, weaponization, delivery, exploitation, installation, C2, actions).

Threat Intelligence Enrichment: Anreicherung von Ereignissen mit Threat Intelligence (bösartige IPs, C2-Domains, Malware-Hashes).

Log-Management und Aufbewahrung

Aufbewahrungsrichtlinien: Festlegung von Aufbewahrungsfristen auf Basis von Compliance- Anforderungen (LGPD, PCI-DSS, ISO 27001) und Untersuchungsbedarf.

Hot vs Cold Storage: Aktuelle Logs auf schnellem Speicher für die Echtzeit- Analyse, ältere Logs auf kostengünstigem Speicher für Compliance und historische Untersuchungen.

Archiving und Compression: Komprimierung und Archivierung älterer Logs, um Kosten zu senken und gleichzeitig die Compliance zu wahren.

Immutability: WORM (Write Once Read Many) oder Blockchain, um die Manipulation von Logs bei forensischen Untersuchungen zu verhindern.

Forensische Untersuchung mit Logs

Bei Vorfalluntersuchungen sind Logs eine primäre Beweisquelle:

Timeline Reconstruction: Rekonstruktion der vollständigen Chronologie des Angriffs anhand von Timestamps aus mehreren Log-Quellen.

IOC Hunting: Suche nach Indicators of Compromise (IPs, Domains, Hashes, User Agents) in historischen Logs.

Scope Determination: Identifizierung aller betroffenen Systeme durch Analyse von Netzwerk-, Authentifizierungs- und Endpoint-Logs.

Attribution: Bestimmung des Angriffsursprungs durch Analyse der Quell-IPs, TTPs (Tactics, Techniques, Procedures) und hinterlassener Artefakte.

Visualisierung und Dashboards

Security Dashboards: Echtzeit-Ansicht von Sicherheits-KPIs (Alerts, Schwachstellen, Zugriffsversuche, Top-Angreifer).

Heat Maps: Geografische Visualisierung des Ursprungs von Angriffen und verdächtigen Aktivitäten.

Trend Analysis: Trenddiagramme zur Identifizierung zeitlicher Muster und des Wachstums von Bedrohungen.

Custom Views: Maßgeschneiderte Dashboards für verschiedene Stakeholder (SOC Analysts, CISO, Compliance).

Parsing und Datenextraktion

Logs im Rohformat müssen geparst werden, um strukturierte Felder zu extrahieren:

Regex Patterns: Reguläre Ausdrücke zur Extraktion von Feldern aus unstrukturierten Logs.

Grok Patterns (Logstash): Eine Bibliothek vordefinierter Patterns für gängige Log-Typen (Apache, Nginx, Syslog).

JSON Parsing: Moderne Logs liegen häufig in JSON vor, was das Parsing und die Indizierung erleichtert.

Field Extraction: Extraktion von Schlüsselfeldern (timestamp, source IP, username, action, result) für effiziente Indizierung und Suche.

Performance und Skalierbarkeit

Effiziente Indizierung: Geeignete Indizes für die am häufigsten abgefragten Felder beschleunigen Queries dramatisch.

Data Partitioning: Die Partitionierung von Daten nach Zeit oder Typ ermöglicht schnellere Queries und selektive Aufbewahrung.

Distributed Architecture: Verteilte Cluster (Elasticsearch, Splunk Indexers) zur horizontalen Skalierung mit dem Log-Volumen.

Sampling: Für massive Umgebungen hält statistisches Sampling weniger kritischer Logs die Kosten unter Kontrolle.

Compliance und Audit

PCI-DSS: Requirement 10 fordert Logs aller Zugriffe auf Karteninhaber- daten und Systeme, mit einer Aufbewahrung von 1 Jahr, davon 3 Monate online.

LGPD: Art. 37 legt die Aufzeichnung von Verarbeitungsvorgängen personen- bezogener Daten fest.

SOX: Sarbanes-Oxley verlangt Logs von Finanzsystemen und IT-Kontrollen.

ISO 27001: Maßnahme A.12.4.1 zur Aufzeichnung von Ereignissen und Sicherheits- Logs.

Automatisierung und SOAR-Integration

Integration von SIEM mit SOAR (Security Orchestration, Automation and Response) für eine automatisierte Reaktion:

Auto-Remediation: Automatisierte Aktionen als Reaktion auf Alerts (IP blockieren, Konto deaktivieren, Host isolieren).

Enrichment Automation: Automatische Anreicherung von Alerts mit Threat Intelligence, Whois, Geolokalisierung.

Playbook Execution: Automatische Ausführung standardisierter Response-Playbooks für bekannte Vorfalltypen.

Herausforderungen und Grenzen

Datenvolumen: Große Umgebungen können täglich Terabytes an Logs generieren, was Speicher und Analyse-Performance herausfordert.

False Positives: Abwägung der Regelsensitivität, um Bedrohungen zu erkennen, ohne übermäßig viele Fehlalarme zu erzeugen (Alert Fatigue).

Log Tampering: Ausgefeilte Angreifer versuchen, Logs zu löschen oder zu verändern. Echtzeit-Weiterleitung an das SIEM und Immutability mindern dieses Risiko.

Coverage Gaps: Nicht alle Systeme generieren angemessene Logs. Shadow IT und Cloud- Dienste können eine eingeschränkte Sichtbarkeit haben.