Log-Quellen priorisieren: Erkennungswert vor Vollständigkeit
Ein SIEM ist nur so gut wie die Daten, die es bekommt, und nur so bezahlbar wie die Daten, die es nicht bekommt. Diese Seite ordnet die wichtigsten Quellen nach Erkennungswert, erklärt, wie Retention geplant wird, und zeigt, warum das Volumen der größte Kostentreiber ist.
- 6 Quellgruppen in der Reihenfolge ihres Erkennungswerts
- Identitäten zuerst AD und Entra ID liefern den höchsten Wert
- gestuft Retention nach Datenart und Speicherstufe
- Volumen der Kostentreiber, den Sie vor der Anbindung messen
Sechs Quellgruppen nach Erkennungswert
Die Reihenfolge ist eine Empfehlung für den Aufbau. Wer mit den ersten drei Gruppen startet, sieht die meisten relevanten Angriffsschritte, bevor die Rechnung groß wird.
| Priorität | Quellgruppe | Was sie sichtbar macht | Typisches Volumen |
|---|---|---|---|
| 1 | Identitäten: Active Directory, Entra ID, Identity Provider | Anmeldungen und Fehlversuche, Rechteänderungen, neue Konten, Gruppenmitgliedschaften, MFA-Ereignisse, Anmeldungen aus ungewöhnlichen Orten. Die Grundlage für die meisten Use Cases. | Mittel; abhängig von Nutzerzahl und Anmeldehäufigkeit. |
| 2 | Endpunkte: EDR, Betriebssystem-Protokolle | Prozessstarts, Skriptausführung, Schadsoftware-Erkennung, Manipulation von Sicherheitsfunktionen, laterale Bewegung. Zeigt, was auf dem Gerät tatsächlich passiert. | Hoch bei vollständiger Prozessprotokollierung; EDR-Alarme allein gering. |
| 3 | Firewalls und VPN | Verbindungen nach außen und zwischen Segmenten, VPN-Anmeldungen, blockierte Zugriffe, Kommunikation mit bekannten bösartigen Zielen, Datenabfluss. | Hoch bis sehr hoch; Verbindungsprotokolle sind der häufigste Volumentreiber. |
| 4 | Cloud-Audit-Logs: Microsoft 365, Azure, AWS, Google Cloud | Änderungen an Konfiguration, Rollen und Freigaben, Zugriffe auf Speicher, Postfachregeln, Anlegen von Ressourcen. In der Cloud entstehen Vorfälle meist durch Fehlkonfiguration. | Mittel; steigt mit der Zahl der Dienste und Nutzer. |
| 5 | E-Mail-Sicherheit | Erkannte Phishing- und Schadsoftware-Mails, Weiterleitungsregeln, Absenderfälschung, Zustellung an viele Empfänger. Der häufigste Einstiegsweg für Angriffe. | Mittel; abhängig vom Mailaufkommen. |
| 6 | Server und Anwendungen | Anmeldungen an Servern, Dienststarts, Änderungen an Konfiguration, Datenbankzugriffe, Anwendungsprotokolle der kritischen Fachsysteme. | Sehr unterschiedlich; kritische Systeme gezielt auswählen statt alle Server anbinden. |
Regel: Jede angebundene Quelle ist mindestens einem Use Case zugeordnet. Eine Quelle ohne Use Case ist ein Kostenposten ohne Erkennungswert, es sei denn, sie ist bewusst nur für Forensik in einer günstigen Speicherstufe abgelegt.
Worauf es bei den wichtigsten Quellen ankommt
Anbindung ist nicht gleich Anbindung. Bei jeder Quelle entscheiden Konfiguration und Auswahl der Ereignistypen darüber, ob das SIEM das Nötige sieht.
- Identitäten
Audit-Richtlinien scharf stellen
Standardmäßig protokollieren Verzeichnisdienste nicht alles, was für Erkennung nötig ist. Anmeldeereignisse, Änderungen an privilegierten Gruppen, Kerberos-Ereignisse und Kontoverwaltung müssen ausdrücklich aktiviert sein. Bei Entra ID gehören Anmelde- und Audit-Protokolle sowie Risikoereignisse dazu.
- Endpunkte
EDR-Alarme und Prozessdaten trennen
EDR-Alarme sind wenig Volumen mit hohem Wert und gehören immer ins SIEM. Vollständige Prozess- und Skriptprotokolle liefern Tiefe für Use Cases wie verdächtige PowerShell, erzeugen aber viel Volumen. Beginnen Sie mit Servern und privilegierten Arbeitsplätzen.
- Firewalls und VPN
Filtern, bevor es teuer wird
Verbindungsprotokolle sind der größte Volumentreiber. Erlaubte interne Verbindungen ohne Use Case können an der Quelle gefiltert werden. VPN-Anmeldungen, blockierte Verbindungen und Verbindungen zu bekannten bösartigen Zielen bleiben immer drin.
- Cloud
Audit-Logs einschalten und exportieren
Cloud-Plattformen protokollieren Verwaltungsvorgänge, oft aber mit begrenzter Aufbewahrung und nicht immer standardmäßig. Aktivieren Sie die Audit-Protokolle, exportieren Sie sie ins SIEM und achten Sie auf Änderungen an Rollen, Freigaben und Sicherheitsrichtlinien.
- E-Mail
Zustellung und Regeln überwachen
Neben erkannten Bedrohungen sind Weiterleitungsregeln in Postfächern, Änderungen an Mailfluss-Regeln und Anmeldungen an Postfächern aus ungewöhnlichen Orten wichtige Indikatoren für kompromittierte Konten.
- Server
Kritische Systeme zuerst
Nicht jeder Server gehört ins SIEM. Domänencontroller, Backup-Server, Datenbanken der kritischen Fachsysteme, Verwaltungsserver für Virtualisierung und Fernzugriff zuerst. Das Inventar mit Schutzbedarf aus dem ISMS ist die Auswahlgrundlage.
Aufbewahrung planen: je Datenart, in Stufen
Retention bestimmt, wie weit Sie im Vorfall zurückschauen können, und ist nach dem Ingest der zweite Kostentreiber. Beide Ziele lassen sich vereinbaren, wenn Sie Speicherstufen nutzen.
| Speicherstufe | Zweck | Typische Dauer | Kosten je Datenmenge |
|---|---|---|---|
| Heiß, Analysebereich | Laufende Korrelation, Alarmierung, schnelle Suche für die Alarmbearbeitung. | Wenige Wochen bis wenige Monate. | Am höchsten; hier zählt jedes Gigabyte. |
| Warm, Suche | Rückblick bei Vorfallanalysen, Threat Hunting, Nachverfolgung über Wochen. | Mehrere Monate. | Mittel; langsamere Suche, deutlich günstiger. |
| Kalt oder Archiv, Forensik und Nachweis | Aufbewahrung für gesetzliche und vertragliche Vorgaben, forensische Rekonstruktion lang zurückliegender Vorfälle. | Ein Jahr und länger, nach Vorgabe. | Gering; Abruf dauert und kann Zusatzkosten auslösen. |
- Aufbewahrungsfrist je Datenart festlegen und begründen: gesetzliche Vorgabe, Vertrag, forensischer Bedarf.
- Angreifer bleiben oft lange unentdeckt; die Frist im Suchbereich sollte diesen Zeitraum abdecken.
- Personenbezogene Daten in Protokollen: Löschfristen mit dem Datenschutz abstimmen und dokumentieren.
- Abruf aus dem Archiv testen, bevor er im Vorfall gebraucht wird.
- Retention jährlich mit Volumen und Kosten überprüfen.
Warum das Volumen die Kosten treibt
Die meisten SIEM-Preismodelle rechnen nach eingespeistem Volumen oder Ereignisrate. Damit bestimmt die Auswahl der Quellen die Rechnung direkter als die Wahl der Plattform.
-
Ingest ist der Hebel
Was täglich eingespeist wird, bestimmt Lizenz, Speicher und Rechenleistung. Eine einzelne Firewall mit vollständiger Verbindungsprotokollierung kann mehr Volumen erzeugen als alle Identitätsquellen zusammen, und liefert ohne Use Case kaum Erkennungswert.
-
Messen vor der Anbindung
Jede Quelle bekommt vor der Anbindung eine Volumenschätzung: gemessen am System oder über einen Testzeitraum. Spitzen und Wachstum einrechnen. Die Summe ist die Grundlage für Preisvergleich und Budget, nicht die erste Rechnung des Anbieters.
-
Filtern an der Quelle
Debug-Protokolle, erlaubte interne Verbindungen ohne Use Case, wiederkehrende Statusmeldungen: Was kein Use Case braucht und kein Nachweis verlangt, wird vor dem SIEM gefiltert. Das senkt das Volumen oft erheblich, ohne Erkennung zu verlieren.
-
Speicherstufen und Retention differenzieren
Daten, die nur für Forensik gebraucht werden, gehören nicht in den teuren Analysebereich. Eine gestufte Retention je Datenart hält die Kosten planbar und erfüllt trotzdem Aufbewahrungspflichten.
In vier Schritten zur priorisierten Quellenliste
Das Ergebnis ist eine Tabelle: Quelle, Use Cases, Priorität, Volumen, Retention, Speicherstufe. Sie ist gleichzeitig Anbindungsplan, Kostenbasis und Nachweis für Auditoren.
-
Erkennungsziele festlegen
Welche Angriffe und Fehler müssen Sie erkennen, welche Vorgaben aus NIS2, ISO 27001, Verträgen und Versicherung gelten? Daraus folgen die Use Cases, aus den Use Cases die Quellen. Nicht umgekehrt.
-
Quellen zuordnen und priorisieren
Je Use Case die benötigten Quellen und Ereignistypen benennen. Quellen, die viele Use Cases mit hohem Risikobezug bedienen, kommen zuerst. Quellen ohne Use Case werden gestrichen oder nur für Forensik in günstige Stufen gelegt.
-
Volumen messen und Retention festlegen
Je Quelle das Tagesvolumen messen, Spitzen und Wachstum einrechnen, Aufbewahrungsfrist und Speicherstufe je Datenart festlegen. Ergebnis ist die Kostenbasis für Plattformvergleich und Budget.
- Filter an der Quelle vor der Anbindung definieren
- Datenschutz bei personenbezogenen Protokollen einbinden
-
Anbinden, prüfen, nachhalten
Quellen in Prioritätsreihenfolge anbinden, Vollständigkeit und Parser prüfen, Heartbeats überwachen, damit ausgefallene Quellen auffallen. Jährlich die Liste gegen neue Use Cases, neue Systeme und das tatsächliche Volumen abgleichen.
Vertiefung zu SIEM und SOC
-
SIEM Tool-Auswahl
Sechs Kriterien, Preismodelle nach Ingest und Retention, Cloud oder On-Prem und die Einordnung von Sentinel, Splunk, Elastic, QRadar und Wazuh.
-
SOC-Optionen: eigenes SOC, MDR, Hybrid
Rollen im SOC, die 24/7-Frage, Eskalationswege und die Kennzahlen MTTD und MTTR für jedes Betriebsmodell.
-
SIEM-Beratung im Überblick
Grundlagen, Betriebsmodelle, unser Vorgehen in vier Schritten, Kennzahlen und der Selbsttest für Ihr SIEM.
Zu Log-Quellen und Retention
Sollten wir nicht einfach alle Logs sammeln?
Nein. Jede Quelle kostet Volumen, Speicher und Pflege, aber nicht jede liefert Erkennungswert. Wer alles sammelt, zahlt für Daten, die kein Use Case je auswertet, und verlangsamt die Suche in den Daten, die zählen. Sinnvoll ist: Quellen aus den Erkennungszielen ableiten, mit den wertvollsten beginnen und Daten für Forensik in günstige Speicherstufen legen.
Warum stehen Identitäten vor den Firewalls?
Weil die meisten Angriffe heute über gültige Zugangsdaten laufen, nicht über durchbrochene Firewalls. Anmeldungen, Rechteänderungen und MFA-Ereignisse aus Active Directory und Entra ID machen sichtbar, wer sich wo mit welchen Rechten bewegt. Firewall-Logs sind wichtig, aber allein sagen sie wenig darüber, ob eine Verbindung legitim war.
Wie lange müssen wir Logs aufbewahren?
Das hängt von Ihren Vorgaben ab: gesetzliche und vertragliche Anforderungen, Bedarf für Forensik und die Zeit, die Angreifer typischerweise unentdeckt bleiben. Praktisch bewährt sich eine gestufte Retention: wenige Wochen bis Monate im schnellen Analysebereich, danach länger in günstigen Stufen für Suche und Forensik. Legen Sie die Frist je Datenart fest und dokumentieren Sie die Begründung.
Wie schätzen wir das Volumen einer Quelle vor der Anbindung?
Messen statt raten: Die meisten Systeme können ihr Protokollaufkommen für einen Zeitraum ausgeben, oder Sie binden die Quelle testweise für eine Woche an und messen. Rechnen Sie Spitzen ein, etwa bei Vorfällen, Scans oder Fehlkonfigurationen, und planen Sie das Wachstum der nächsten zwei Jahre. Eine Volumenschätzung je Quelle vor der Anbindung ist die Grundlage jeder Kostenplanung.
Was tun, wenn das Volumen die Kosten sprengt?
Zuerst prüfen, welche Quellen viel Volumen und wenig Erkennungswert liefern, etwa ausführliche Debug-Protokolle oder Netzwerk-Flows ohne zugehörigen Use Case. Dann filtern an der Quelle, unnötige Ereignistypen ausschließen, Speicherstufen nutzen und Retention je Datenart differenzieren. Erst wenn das nicht reicht, ist das Preismodell der Plattform die Frage.
Edouard Jacques
Welche Quellen brauchen Sie wirklich?
Im kostenlosen Erstgespräch gehen wir Ihre Erkennungsziele und die angebundenen oder geplanten Quellen durch und zeigen, wo Erkennungswert fehlt und wo Volumen ohne Nutzen Kosten erzeugt.
- Priorisierte Quellenliste mit Use-Case-Zuordnung
- Volumenschätzung und Retention je Datenart
- Filter und Speicherstufen, die die Rechnung senken
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen