Die Aufgabe
Sicherheitsereignisse zusammenführen und auswerten.
Ein SIEM (Security Information and Event Management) führt sicherheitsrelevante Ereignisse aus IT-Systemen zusammen. Die eigentliche Aufgabe beginnt bei der Auswahl: Welche Ereignisse braucht man, welche Auffälligkeiten sollen erkannt werden und wer kann einen Alarm anschließend bearbeiten?
Meine Bachelorarbeit untersuchte eine Lösung auf Basis von Wazuh für kleinere Organisationen. Dabei gehören technische Möglichkeiten und verfügbare Betriebsressourcen zur selben Architekturentscheidung.
Meine Umsetzung
Vom Architekturentwurf bis zum technischen Test.
Ich habe eine SIEM-Architektur auf Basis von Wazuh entworfen, technisch aufgebaut und mit praxisnahen Tests untersucht. Dazu gehörten die Anbindung von Logquellen, die sichere Übertragung von Ereignisdaten und deren Auswertung.
Konzeption, Implementierung und Evaluation habe ich eigenständig bearbeitet. Damit reicht meine Erfahrung vom Architekturentwurf über die Anbindung von Ereignisdaten bis zur Untersuchung des aufgebauten Systems.
Fachliche Einordnung
Zwischen Logzeile und brauchbarem Alarm liegen mehrere Entscheidungen.
So arbeitet eine Wazuh-basierte Überwachung grundsätzlich. Die folgenden Punkte ordnen die Architektur und ihre Grenzen fachlich ein.
- ErfassenEreignisse aus den relevanten Quellen übernehmen.
- StrukturierenMit Decodern aus Logtext auswertbare Felder gewinnen.
- BewertenFelder und Ereignismuster anhand von Regeln prüfen.
- UntersuchenAlarme speichern, durchsuchen und fachlich einordnen.
Architektur: einfach betreiben oder gezielt skalieren?
Wazuh trennt Analyse im Server, Speicherung im Indexer und Darstellung im Dashboard. Agenten liefern Daten der überwachten Systeme. Eine gemeinsame Installation der zentralen Komponenten vereinfacht einen kleinen Aufbau, bündelt aber Ressourcenbedarf und Ausfallrisiko. Getrennte Komponenten oder Cluster bieten andere Möglichkeiten für Kapazität und Verfügbarkeit; zugleich steigen Betriebsaufwand und Zahl der zu betreuenden Verbindungen.
Die Architektur muss deshalb zum Ereignisvolumen, zur Aufbewahrungsdauer und zu den Personen passen, die sie betreiben. Verschlüsselte Übertragungswege sind dabei für jede Verbindung gesondert zu betrachten.
Erkennung: Was entscheidet über die Qualität eines Alarms?
Ein Decoder erkennt das Format einer Logmeldung und extrahiert beispielsweise Benutzer oder Quelladresse. Erst Regeln legen fest, welche Kombination einen Alarm auslöst. Ein sichtbarer Logeintrag beweist daher noch keine funktionierende Erkennung.
Für eine belastbare Prüfung braucht es erwartete Treffer und normale Vergleichsereignisse. Zu weite Regeln erzeugen unnötige Alarme; zu enge Regeln lassen relevante Varianten unbemerkt. Wazuh stellt dafür wazuh-logtest bereit. Eigene Regeln und Decoder sollten getrennt vom mitgelieferten Regelwerk liegen, damit Aktualisierungen sie nicht überschreiben.
Evaluation: Was lässt sich aus einem erfolgreichen Test ableiten?
Ein erfolgreicher Test belegt zunächst, dass ein bestimmtes Ereignis unter den geprüften Bedingungen erkannt wurde. Er beweist weder vollständige Angriffserkennung noch die Eignung für jede Organisation. Aussagekräftig wird eine Evaluation durch dokumentierte Testbedingungen, erwartete Ergebnisse und die Untersuchung ausgebliebener oder unbegründeter Alarme.
Für einen späteren Betrieb wären außerdem der Ausfall einer Logquelle, Berechtigungen und die Bearbeitung von Alarmen zu klären. Diese Fragen bestimmen, wie verlässlich die technische Erkennung im Alltag nutzbar ist.
Das Ergebnis
Eine abgeschlossene Arbeit, bewertet mit 1,0.
Das Projekt zeigt meine Erfahrung mit dem Weg von einer Sicherheitsarchitektur bis zur funktionsfähigen Testumgebung und ihrer Evaluation. Die Bachelorarbeit wurde mit der Note 1,0 bewertet.
Für den Einsatz in einer konkreten Organisation müssten deren IT-Umgebung, Anforderungen und Betriebsmöglichkeiten gesondert betrachtet werden.
Fachliche Quellen
Weiterführende technische Grundlagen aus der offiziellen Wazuh-Dokumentation.
Eigenständiges Studienprojekt. Weiterführende Projektdetails können im Rahmen ihrer Freigabe besprochen werden.