Seminar Pandora FMS Log-Monitoring und SIEM-Grundlagen

Zentrale Logs sind erst dann nützlich, wenn Zeitstempel, Quellen, Suchmuster und Aufbewahrung konsistent sind. Der Kurs führt von der Erfassung über die Korrelation bis zur untersuchbaren Sicherheitsmeldung und bezieht Dateiintegrität sowie Schwachstellen ein.

Inhaltsverzeichnis

1. Kapitel 1: Seminarprofil
2. Kapitel 2: Log-Erfassung und Log-Analyse
3. Kapitel 3: SIEM-Grundlagen und Sicherheitskorrelation
4. Kapitel 4: Ereigniskorrelation und Ursachenverdichtung
5. Kapitel 5: FIM, Schwachstellen und Sicherheitsmonitoring
6. Kapitel 6: Berichte und planbare Auswertungen
7. Kapitel 7: Hardening, Verschlüsselung und Audit
8. Kapitel 8: Praxislabor und Betriebscheck

Kapitel 1: Seminarprofil

Inhaltsverzeichnis

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Praxisrahmen
• Systembezug

Zielsetzung: Logquellen werden zentral erfasst, durchsuchbar gemacht und mit Ereignis-, Korrelations-, FIM- und Sicherheitsfunktionen zu verwertbaren Fällen verdichtet.

Zielgruppe: Monitoring- und Security-Administratoren, SOC-nahe Betriebsteams und Verantwortliche für Protokollauswertung.

Voraussetzungen: Grundlagen in Linux, Netzwerken, Systemprotokollen und Pandora-FMS-Bedienung.

Praxisrahmen: Anbindung mehrerer Logquellen und Aufbau eines Sicherheitsfalls mit Filter, Korrelation, Alarm, Dashboard und Bericht.

Systembezug: Übungen und Bezeichnungen werden an Edition, Version und vorhandene Topologie angepasst; lizenzabhängige Funktionen werden im Labor eindeutig gekennzeichnet.

Kapitel 2: Log-Erfassung und Log-Analyse

Inhaltsverzeichnis

• Quellen, Formate und Zeitstempel
• Transport, Speicherung und Suche
• Filter, Alarmierung und Aufbewahrung

Log-Monitoring zentralisiert Textmeldungen aus Systemen und Anwendungen. Quellen, Zeitzonen, Zeichensätze und Aufbewahrung werden vorab festgelegt; Suchmuster werden mit realen Positiv- und Negativbeispielen geprüft.

Schritt-für-Schritt-Anleitung

1. Logquellen, erwartetes Volumen, Zeitstempel, Zeitzone und schützenswerte Inhalte erfassen.
2. Transportweg über EndPoint, Syslog oder geeignete Integration einrichten und ersten Dateneingang prüfen.
3. Felder, Suchbereiche und Aufbewahrungsregeln für den eingesetzten Log-Backend festlegen.
4. Suchfilter für einen konkreten Fehlerfall erstellen und mit ähnlichen, aber unkritischen Meldungen abgrenzen.
5. Alarm, Dashboard oder Bericht aus dem Filter ableiten und Verhalten bei Datenstau beziehungsweise Backend-Ausfall testen.

Kapitel 3: SIEM-Grundlagen und Sicherheitskorrelation

Inhaltsverzeichnis

• Erfassung, Filterung und Normalisierung
• Korrelation und Priorisierung
• Visualisierung, Untersuchung und Nachweis

SIEM-Funktionen verdichten sicherheitsrelevante Logs und Ereignisse. Regeln werden an konkreten Angriffsszenarien ausgerichtet und mit Kontext, Zeitfenster und Ausschlüssen versehen, damit die Untersuchung nicht in einer Flut gleichwertiger Treffer endet.

Schritt-für-Schritt-Anleitung

1. Sicherheitsfall, relevante Quellen, erwartete Ereignisse und erforderlichen Kontext beschreiben.
2. Datenquellen anbinden und Zeitstempel, Hostkennung, Benutzer- und Prozessinformationen normalisieren.
3. Filter- oder Korrelationsregel mit Schweregrad, Zeitfenster und Ausnahmen erstellen.
4. Regel mit kontrollierten Testereignissen auslösen und Ereigniskette bis zur Alarmierung nachvollziehen.
5. Dashboard, Untersuchungsnotiz und Aufbewahrungsnachweis für den Fall erstellen und Fehlalarme nachbearbeiten.

Kapitel 4: Ereigniskorrelation und Ursachenverdichtung

Inhaltsverzeichnis

• Korrelationsregeln und Suchbedingungen
• Zeitfenster, Sequenzen und Schweregrade
• Testdaten und Fehlalarmkontrolle

Korrelation verdichtet einzelne technische Ereignisse zu einer belastbaren Störungsaussage. Gute Regeln arbeiten mit klaren Bedingungen, begrenzten Zeitfenstern und nachvollziehbaren Ausschlüssen statt mit unkontrollierten Volltextsuchen.

Schritt-für-Schritt-Anleitung

1. Ein reales Störungsmuster in notwendige, optionale und ausschließende Ereignismerkmale zerlegen.
2. Filter nach Gruppe, Agent, Modul, Ereignistext, Schweregrad und Zeitfenster definieren.
3. Reihenfolge und Mindestanzahl zusammengehöriger Ereignisse sowie den resultierenden Schweregrad festlegen.
4. Regel mit positiven, negativen und unvollständigen Testsequenzen prüfen.
5. Fehlalarme auswerten, Bedingungen verengen und Regelversion sowie Verantwortlichkeit dokumentieren.

Kapitel 5: FIM, Schwachstellen und Sicherheitsmonitoring

Inhaltsverzeichnis

• Dateiintegrität und kritische Pfade
• Schwachstellenerkennung und Priorisierung
• Überwachung von Sicherheitskomponenten

Dateiintegritäts- und Schwachstellenfunktionen ergänzen das klassische Verfügbarkeitsmonitoring. Die Konfiguration konzentriert sich auf kritische Pfade, verwertbare Prioritäten und die Verknüpfung mit tatsächlich betroffenen Systemen.

Schritt-für-Schritt-Anleitung

1. Kritische Konfigurations-, Programm- und Berechtigungsdateien je Plattform festlegen.
2. FIM-Prüfung konfigurieren und genehmigte sowie unerwartete Änderungen getrennt testen.
3. Inventar- und Betriebssystemdaten für die Schwachstellenzuordnung auf Vollständigkeit prüfen.
4. Treffer nach Kritikalität, Exponierung und vorhandener Kompensation priorisieren.
5. Status von Firewall, Virenschutz, VPN, Backup oder weiteren Sicherheitskomponenten in ein gemeinsames Dashboard aufnehmen.

Kapitel 6: Berichte und planbare Auswertungen

Inhaltsverzeichnis

• Berichtsvorlagen und Zeiträume
• Module, Ereignisse, Inventar und SLA
• Zeitplanung, Verteilung und Berechtigungen

Berichte kombinieren technische und serviceorientierte Daten über definierte Zeiträume. Aussagekräftige Berichte dokumentieren Datenbasis, Aggregation und Zeitraum und werden vor der automatischen Verteilung mit Testdaten geprüft.

Schritt-für-Schritt-Anleitung

1. Berichtszweck, Empfängerkreis, Zeitraum und erforderliche Detailtiefe festlegen.
2. Bericht anlegen und Elemente für Verfügbarkeit, Graphen, Ereignisse, Alarme, Inventar oder Services ergänzen.
3. Filter und Aggregation so einstellen, dass Wartungszeiten und fehlende Daten korrekt behandelt werden.
4. Vorschau und Export auf Vollständigkeit, Seitenumbrüche, Zeitzone und Zahlenformat prüfen.
5. Zeitplanung, Empfänger, Berechtigungen und Pflegeverantwortung konfigurieren und einen Probelauf auswerten.

Kapitel 7: Hardening, Verschlüsselung und Audit

Inhaltsverzeichnis

• Angriffsfläche und Systemkonten
• Verschlüsselte Kommunikation und Geheimnisse
• ACL, Protokollierung und regelmäßige Prüfung

Hardening reduziert unnötige Dienste, Rechte und offene Schnittstellen. Technische Maßnahmen werden durch nachvollziehbare Zugriffsregeln, geschützte Geheimnisse, verschlüsselte Transportwege und regelmäßige Prüfungen ergänzt.

Schritt-für-Schritt-Anleitung

1. Server, Konsole, Datenbank, EndPoints und Integrationsschnittstellen in einer Angriffsflächenanalyse erfassen.
2. Nicht benötigte Dienste, Standardkonten und offene Netzwerkpfade identifizieren und kontrolliert reduzieren.
3. TLS, Zertifikatsprüfung und geschützte Übertragung für relevante Kommunikationswege konfigurieren.
4. Technische Konten, Zugangsdatenablage, Kennwortrichtlinien und Rollen nach dem Minimalprinzip prüfen.
5. Auditprotokoll, Anmeldefehler und Konfigurationsänderungen regelmäßig auswerten und Nachweisroutine dokumentieren.

Kapitel 8: Praxislabor und Betriebscheck

Inhaltsverzeichnis

• Planung und Abnahmekriterien
• Umsetzung im Laborsystem
• Störungs- und Wiederholungstests
• Betriebscheck und Dokumentation

Das Abschlusslabor verbindet die behandelten Konfigurationen zu einem nachvollziehbaren Betriebsfall. Jede Funktion wird mit einem messbaren Prüfkriterium und mindestens einem gezielt erzeugten Fehlerbild abgenommen.

Schritt-für-Schritt-Anleitung

1. Ausgangslage, gewünschte Überwachungsziele und messbare Abnahmekriterien für das Laborszenario festhalten.
2. Benötigte Agenten, Module, Zugangsdaten, Richtlinien und Darstellungen in einer kurzen Umsetzungsskizze zuordnen.
3. Ein kontrolliertes Sicherheitsereignis wird aus mehreren Logquellen erkannt, korreliert, dokumentiert und in einem Bericht nachgewiesen.
4. Mindestens einen Normalfall, einen technischen Fehler und einen fachlich falschen Messwert kontrolliert auslösen.
5. Konfiguration, Prüfergebnisse, offene Risiken und erforderliche Betriebsaufgaben in einer wiederverwendbaren Checkliste dokumentieren.