Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001

Protokolle sicher erfassen und auswerten

Relevante Ereignisse mit geschützter Aufzeichnung, verlässlicher Zeit und einem funktionierenden Erkennungs- und Reaktionsweg verbinden.

Verantwortlich: IT-Betrieb mit zuständiger SicherheitsauswertungFachlich geprüft am

Vorhandene Unterlagen nutzen

Nutze vorhandene Logquellen, Überwachung und Vorfallakte. Gemeinsame Regeln stehen in der Betriebsrichtlinie; konkrete Quellen, Parameter und Prüfergebnisse bleiben am Dienst.

Was du konkret tun musst

  1. 1

    Zweck, Quellen und Normalzustand festlegen

    Wähle die für den Dienst relevanten Aktivitäten, Zugriffe, Änderungen, Fehler und Sicherheitsereignisse. Benenne nötige Attribute wie Identität, Quelle, Zeitpunkt, Ergebnis und Systembezug. Beziehe relevante Netzwerk-, Anwendungs- und bei Bedarf Zutrittsereignisse ein. Bestimme zulässigen Umfang, Aufbewahrung, Zuständigkeit und normales Verhalten einschließlich Spitzenzeiten; sammle keine Passwörter, Tokens oder unnötigen personenbezogenen Inhalte.

  2. 2

    Geschützte Ereigniskette einrichten

    Richte die ausgewählten Quellen ein. Verwende freigegebene verlässliche Zeitquellen und eindeutige Zeitangaben; lege die benötigte Genauigkeit fest und überwache Abweichungen. Halte nicht steuerbare Zeitunterschiede externer Dienste für die Analyse fest. Schütze Transport durch geeignete authentisierte verschlüsselte Verbindungen und die Ablage gegen Verlust, unbefugte Änderung und Einsicht. Nutzende sollen ihre eigene Protokollierung nicht unbemerkt löschen oder deaktivieren können. Überwache Erfassungsausfälle und Speichergrenzen.

  3. 3

    Erkennen, melden und untersuchen

    Konfiguriere zur Umgebung passende Regeln und Schwellen gegen den Normalzustand. Nutze laufende Überwachung mit bedarfsgerechter Echtzeit- oder Intervallauswertung. Ein bekannter Empfänger und Ersatzweg müssen die Meldung entgegennehmen können. Verfolge einen ungefährlichen passenden Testfall vom Ereignis über Zeitkorrelation und Alarm bis zur Bewertung. Untersuche Verdachtsfälle in der vorhandenen Vorfallakte; sichere erforderliche Belege.

  4. 4

    Auswertung und Schutz nachführen

    Bearbeite Fehlalarme und ausgefallene Quellen. Prüfe Regeln nach Änderungen und neuen Erkenntnissen und dokumentiere wesentliche Anpassungen am vorhandenen Dienst. Entferne oder maskiere unnötige sensible Angaben vor einer zulässigen Weitergabe an Dienstleister. Halte tatsächliche Bewertungen und erforderliche Korrekturen im bestehenden Vorgang fest.

Praxisbeispiel

Beispiel aus dem Betrieb

Fiktives Beispiel: Mehrere gescheiterte Anmeldungen treffen auf einen Dienst, kurz danach wird ein privilegiertes Konto verwendet.

Zusammenhang bewerten
FestlegungDie Auswertung verbindet die Ereignisse anhand geprüfter Zeiten, prüft das erwartete Verhalten und übergibt einen begründeten Verdacht an die Vorfallbearbeitung.
NachweisGeschützte Ereignisse und nachvollziehbare Bewertung im vorhandenen Vorgang.

Ergebnis festhalten

  • Festgelegte Quellen, Zweck, Aufbewahrung, Zeitquellen und verantwortliche Auswertung.
  • Tatsächlich empfangene geschützte Logs und geprüfte Erkennungskette einschließlich Reaktion.

Häufige Fehler bei der Umsetzung

Ein SIEM kaufen und Meldungen unbeachtet lassen

Ein Werkzeug ersetzt keine geeigneten Quellen, Regeln, erreichbaren Empfänger und fachliche Bewertung. Nutze vorhandene Funktionen, wenn sie das Ergebnis leisten.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen
  • A.8.15 · Protokollierung

    Der Ablauf verbindet zweckbezogene Ereignisauswahl, Erzeugung, geschützte Speicherung und tatsächliche Auswertung.

  • A.8.16 · Überwachung von Aktivitäten

    Normalzustände, geeignete Überwachung, Regeln, Meldewege und Bewertung sowie Fehlalarmbehandlung werden eingerichtet und getestet.

  • A.8.17 · Uhrensynchronisation

    Freigegebene Zeitquellen, passende Genauigkeit, Synchronisierung und die Behandlung von Abweichungen ermöglichen Ereigniskorrelation.

Vorlagen für die Umsetzung

Dazu passend

Quellen und weiterführende Informationen