Für die Untersuchung eines Vorfalls brauchen Sie kein SIEM. Sie brauchen die richtigen Logs, die eingeschaltet sind, mindestens sechs Monate aufbewahrt werden, vor Manipulation geschützt sind und sich durchsuchen lassen, ohne dass Sie sich an jedem einzelnen Rechner anmelden müssen.
Die sechs Kategorien unten sind unsere eigene Gruppierung und kein Standard. Sie ordnen die drei Tabellen aus der NCSC-Einführung in Logging für Sicherheitszwecke neu an, ergänzen das Application Logging aus den OWASP-Empfehlungen sowie Details zu Microsoft 365 aus der Dokumentation von Microsoft.
Von den Fragen ausgehen
Wählen Sie Logquellen anhand der Fragen aus, die Ihnen in den ersten Stunden eines Vorfalls gestellt werden. Das NCSC fasst sie allgemein: Was ist passiert, welche Auswirkungen hat es, was sollten wir als Nächstes tun, hat die Bereinigung gewirkt und funktionieren unsere Sicherheitskontrollen? Seine Tabellen brechen diese Fragen in konkrete Einzelfragen herunter, etwa wer sich außerhalb der Arbeitszeit remote angemeldet hat oder ob jemand auf einen bestimmten Link geklickt hat. Wenn Sie nicht sagen können, welcher Frage ein Log dient, hat es später Vorrang.
Das Mindestset
| Quelle | Frage, die sie beantwortet | Woher sie stammt |
|---|---|---|
| Identität und Remote-Zugriff | Wer hat sich wann und von wo angemeldet? Gab es fehlgeschlagene Versuche bei Diensten, die aus dem Internet erreichbar sind? | Active Directory, LDAP, ADFS, VPN, Remote Desktop und VDI-Logs |
| Wer hat eine Nachricht wie diese erhalten, und wer hat auf den Link geklickt? | SMTP-Server, MS Exchange, Mail-Scanning-Appliances, APIs von Cloud-Anbietern | |
| Endpoints und Server | Wurde diese Binärdatei ausgeführt, existiert diese Datei, ist auf einem Host etwas Auffälliges passiert? | Windows EVTX, Syslog, Microsoft Sysmon, Host-Agents |
| Firewall, DNS und Proxy | Kommuniziert ein System mit einer verdächtigen IP-Adresse oder Domain? | Firewall- oder Netflow-Logs, DNS-Logs, Web-Proxy-Logs |
| Webserver und Anwendung | Was hat der Benutzer getan, und mit welchem Ergebnis? | Anwendungscode, Webserver |
| Assets und Änderungen | Welches Gerät hatte diese IP-Adresse, was wurde geändert, wem gehört dieser Server? | DHCP-, Router-, Firewall- und Switch-Logs, eine CMDB |
Einige Details beeinflussen, was Sie erfassen. Bei der Firewall sollten die erfassten Logs laut NCSC Network Address Translation berücksichtigen, damit Sie sowohl die interne als auch die externe IP-Adresse festhalten. DNS-Logs zeigen die Domain, die ein Benutzer aufgerufen hat, aber nicht die vollständige URL. Betrachten Sie sie deshalb als schwächeren Ersatz, wenn Sie keinen Web-Proxy haben.
Host-Agents, darunter das kostenlose Microsoft Sysmon, können Prozessinformationen, DNS-Lookup-Ereignisse, Änderungen am Dateisystem und Datei-Hashes liefern. Sie decken aber nur das ab, worauf sie installiert und konfiguriert wurden. Schatten-IT, Netzwerkgeräte, nicht unterstützte Betriebssysteme und Hosts, auf denen Malware den Agent deaktiviert hat, bleiben dunkel.
Webserver-Logs sind kein Application Logging. Die Anwendung kennt Identität und Rollen des Benutzers sowie das Ergebnis einer Aktion, Infrastrukturgeräte oft nicht.
Microsoft 365
Wenn Sie Microsoft 365 einsetzen, prüfen Sie Microsoft Purview, bevor Sie etwas zukaufen. Audit (Standard) ist für Organisationen mit passendem Abonnement standardmäßig aktiviert. Sie müssen aber noch Berechtigungen für die Suche vergeben, entweder im Purview-Portal oder mit dem Cmdlet Search-UnifiedAuditLog in Exchange Online PowerShell.
Standard speichert Einträge 180 Tage lang. Einträge, die vor dem 17. Oktober 2023 erzeugt wurden, wurden nur 90 Tage aufbewahrt. Audit (Premium) bewahrt Einträge von Microsoft Entra ID, Exchange, OneDrive und SharePoint standardmäßig ein Jahr lang auf.
Premium liefert außerdem die Eigenschaft SensitivityLabel für die Aktivität MailItemsAccessed in Exchange Online. Benutzer benötigen eine Premium-Lizenz, damit das System diese Ereignisse erzeugt. Klären Sie die Lizenzierung also vor einem Vorfall.
Aufbewahrung und Schutz
Das NCSC empfiehlt für Logs, die Ihre Fragen im Vorfall beantworten, mindestens 6 Monate Aufbewahrung. Es merkt an, dass M-Trends 2018 die durchschnittliche Erkennungszeit mit 101 Tagen angab. Bewahren Sie die Logs daher länger auf, wenn das Budget es zulässt.
Lokale Logs können diese Vorgabe unbemerkt unterschreiten. Öffnen Sie jedes Log und lesen Sie das Datum des ältesten Eintrags. Ist es jünger als sechs Monate, ist das Log möglicherweise zu klein oder zu stark ausgelastet, um Ihr Ziel zu erreichen. Prüfen Sie deshalb auch die konfigurierte Größe oder die Einstellung zur Aufbewahrung.
Wer einbricht, hat einen Grund, die Logs zu verändern. Behandeln Sie den Logging-Dienst daher mit derselben Sorgfalt wie jede Admin-Oberfläche. Fragen Sie, wer die Logs lesen darf, wer sie schreiben darf und ob Sie eine Änderung bemerken würden. OWASP nennt konkrete Maßnahmen für Anwendungslogs:
- Legen Sie dateibasierte Logs auf eine eigene Partition, getrennt vom Betriebssystem und von nutzergenerierten Inhalten, und vergeben Sie strikte Berechtigungen für Verzeichnisse und Dateien.
- Halten Sie Logs aus webzugänglichen Verzeichnissen heraus. Lässt sich das nicht vermeiden, beschränken Sie den Zugriff und liefern Sie sie als Klartext statt als HTML aus.
- Verwenden Sie beim Logging in eine Datenbank ein Konto, das nur zum Schreiben von Logdaten dient und sehr restriktive Berechtigungen hat.
- Nutzen Sie ein Standard-Eventformat über einen sicheren Transportweg, etwa das Syslog-Nachrichtenformat über TLS.
Nur zentralisieren, wo es sich lohnt
Das NCSC behandelt zentrales und dezentrales Logging als echte Wahlmöglichkeit. Ein zentraler Speicher erspart Ihnen bei einer Untersuchung den Gang zu jeder einzelnen Maschine und wird mit jeder zusätzlichen Quelle nützlicher. Logs an Ort und Stelle zu belassen funktioniert, wenn sie bereits durchsuchbar sind und lange genug vorgehalten werden. Das Beispiel des NCSC sind Cloud-Maildienste, bei denen sich der Aufwand der Extraktion selten lohnt.
Für ein kleines Team ist eine sinnvolle Aufteilung, Logs von Endpoints, Servern, Firewall und VPN zu zentralisieren und gut versorgte Cloud-Dienste dort zu belassen, wo sie sind. Unter Windows überträgt Windows Event Forwarding Logs sicher von den Clients in einen zentralen Speicher.
Das NCSC warnt außerdem, dass ein dezentrales Modell mit der Zeit schleichend verfallen kann. Übertragen Sie jemandem die wiederkehrende Aufgabe zu bestätigen, dass jede Quelle weiterhin Logs erzeugt, und halten Sie schriftlich fest, wer das ist.
Wo Sie anfangen
- Nehmen Sie die konkreten Fragen aus den NCSC-Tabellen, etwa wer sich außerhalb der Arbeitszeit remote angemeldet hat oder ob jemand auf diesen Link geklickt hat. Benennen Sie für jede Frage das System, das sie beantworten würde.
- Halten Sie für jede Quelle fest, wo sie gespeichert ist, wie lange sie aufbewahrt wird und wer sie lesen oder ändern darf. Eskalieren Sie alles, was unter sechs Monaten liegt.
- Prüfen Sie die Standardeinstellungen. Protokolliert eine Quelle nur minimale Details, ändern Sie die Konfiguration, damit mehr erfasst wird. Bestätigen Sie in Microsoft 365, dass Audit aktiv ist, und vergeben Sie Berechtigungen für die Suche.
- Leiten Sie Logs von Endpoints, Servern, Firewall und VPN mit Windows Event Forwarding oder Syslog über TLS an einen einzigen Speicher mit eingeschränktem Schreibzugriff weiter.
- Führen Sie eine Übung durch: Wählen Sie eine verdächtige IP-Adresse und einen Phishing-Betreff und versuchen Sie, die Fragen allein anhand der Logs zu beantworten. Beheben Sie zuerst die Quelle, an der Sie nicht weitergekommen sind.
- Können Sie die Übung nicht intern durchführen, bitten Sie ein Incident-Response-Team oder einen Managed-Security-Anbieter um Unterstützung.
