KRITIS: Systeme zur Angriffserkennung gemäß IT-SiG 2.0 bald Pflicht

Anforderung aus IT-SiG2.0

Technische Lösung

• Es muss durchgängig alle zur effektiven Angriffserkennung erforderliche Hard- und Software auf einem aktuellen Stand gehalten werden.

• Ein SOC kann rund um die Uhr die nötigen Aktualisierungen und das Patch-Management vornehmen.

• Der Betreiber MUSS alle zur wirksamen Angriffserkennung auf System- bzw. Netzebene notwendigen Protokoll- und Protokollierungsdaten (siehe Glossar gemäß § 2 Absatz 8 und 8a BSIG) erheben, speichern und für die Auswertung bereitstellen, um sicherheitsrelevante Ereignisse (SRE) erkennen und bewerten zu können.

• Ein SIEM-System deckt diese Aufgaben komplett ab.

• Sofern betriebs- und sicherheitsrelevante Ereignisse nicht auf einem IT-System protokolliert werden können, müssen weitere IT-Systeme zur Protokollierung (z. B. von Ereignissen auf Netzebene) integriert werden.

• Diese Anforderung ist vor allem im Off- & OT-Bereich relevant und sehr personal- und aufwandsintensiv. Ein SIEM-System ist eine effizientere und kostengünstigere Lösung.

• Die gesammelten Protokoll- und Protokollierungsdaten müssen gefiltert, normalisiert, aggregiert und korreliert werden.

• Ein SIEM-System deckt diese Aufgaben komplett ab.

Anforderung aus IT-SiG2.0

Technische Lösung

• Bei der Auswahl und dem Einsatz von Detektionsmaßnahmen muss eine umfassende und effiziente Abdeckung der Bedrohungslandschaft erzielt werden.

• Ein SOC deckt mit der Erfahrung und Expertise seiner IT-Sicherheitsexperten diese Aufgaben komplett ab..

• Alle Protokolldaten müssen möglichst kontinuierlich überwacht und ausgewertet werden.

• Ein SIEM-System generiert die Daten, die Mitarbeiter vom SOC werten sie aus.

• Es müssen Schadcodedetektionssysteme eingesetzt und zentral verwaltet werden.

• Hier genügen eine Firewall und ein EDR-System.

• Es müssen zentrale Komponenten eingesetzt werden, um sicherheitsrelevante Ereignisse zu erkennen und auszuwerten.

• Ein SIEM-System erfüllt die Anforderungen der genannten zentralen Komponente.

• Zentrale automatisierte Analysen mit Softwaremitteln müssen dazu eingesetzt werden, um alle in der Systemumgebung anfallenden Protokoll- und Protokollierungsdaten aufzuzeichnen, in Bezug zueinander zu setzen und sicherheitsrelevante Vorgänge sichtbar zu machen.

• Ein SIEM-System deckt diese Aufgaben komplett ab.

• Es müssen fortlaufend Meldungen der Hersteller (Hard- und Software), von Behörden, den Medien und weiterer relevanter Stellen geprüft werden und in dokumentierte Prozesse des Schwachstellenmanagements einfließen.

• Ein SOC kann rund um die Uhr die Meldungen prüfen und ihnen mit Hilfe eines Schwachstellenscanners nachkommen.

• Die SRE müssen überprüft und dahingehend bewertet werden, ob sie auf einen Sicherheitsvorfall (qualifizierter SRE) hindeuten.

• Diese Bewertung ist eine klassische SOC-Dienstleistung.

Anforderung aus IT-SiG2.0

Technische Lösung

• Es müssen alle erforderlichen Daten gesichert werden, die Aufschluss über die Art und Ursache des Problems geben könnten.

• Diese Aufgabe wird am besten mit einem Verbund aus SIEM-System und SOC bewältigt.

• Auf allen betroffenen Komponenten müssen das Betriebssystem und alle Applikationen auf Veränderungen untersucht werden.

• Ein SOC deckt mit der Erfahrung und Expertise seiner IT-Sicherheitsexperten diese Aufgaben komplett ab.

• In Netzen, wo die kritische Dienstleistung durch die Umsetzung nicht gefährdet wird, muss es möglich sein, automatisch in den Datenstrom einzugreifen, um einen möglichen Sicherheitsvorfall zu unterbinden.

• Mit einer Firewall kann die Verbindung unterbrochen werden. Ein EDR unterstützt die Sicherheitsmaßnahmen.

• Sollte eine automatische Reaktion nicht möglich sein, muss über manuelle Prozesse sichergestellt werden, dass der mögliche Sicherheitsvorfall unterbunden wird.

• Ein SOC kann diese manuellen Prozesse effektiv durchführen.

• Bei einem sicherheitsrelevanten Ereignis müssen die eingesetzten Detektionssysteme das Ereignis automatisch melden und in Netzen, wo durch die automatische Reaktion die kritische Dienstleistung nicht gefährdet wird, mit geeigneten Schutzmaßnahmen reagieren.

• Ein SIEM-System deckt diese Aufgaben komplett ab.