Werbung
Security
7.2 Security-relevante Ereignisse
4. Korrelieren
Das SIEM-System stellt Beziehungen zwischen den Ereignismeldungen her. Das ermöglicht
es dem SIEM-System Auffälligkeiten (z. B. ungewöhnliche Muster und Trends) zu erkennen,
die auf Security-relevante Aktivitäten schließen lassen.
5. Warnen
Wenn potenzielle Security-relevante Ereignisse identifiziert werden, generiert das SIEM-
System entsprechende Sicherheitswarnungen. Diese können über eine grafische
Benutzeroberfläche ausgegeben oder als Benachrichtigungen versandt werden.
7.2.1.2
Aufbau einer Ereignismeldung
Security-relevante Ereignismeldungen werden mit den folgenden Informationen an eine
Protokollierungsinstanz weitergeleitet:
Element
HEADER
PRI
VERSION
TIMESTAMP
HOSTNAME
STRUCTURED-DATA
timeQuality
MSG
MESSAGE
172
Beschreibung
Priorität der Ereignismeldung
Die Priorität setzt sich aus den folgenden Elementen zusammen:
•
Severity
Schweregrad der Nachricht
Für weitere Informationen zum Schweregrad siehe "Schweregrade (Seite 507)".
•
Facility
Herkunft der Nachricht
Bei Security-relevanten Ereignissen ist die Herkunkt immer local0.
Versionsnummer der Syslog-Spezifikation
Zeitstempel der Ereignismeldung gemäß RFC 3339
Beispiel: 2010-01-01T02:03:15+02:00
Sender der Ereignismeldung mit FQDN, Hostnamen oder IP-Adresse
IPv4-Adresse gemäß RFC 1035: Bytes in dezimaler Darstellung: XXX.XXX.XXX.XXX
Bei fehlenden Angaben wird "-" ausgegeben.
Informationen zur Systemzeit
Beispiel: [timeQuality tzKnown="0" isSynced="0"]
Der Parameter tzKnown gibt an, ob der Sender seine Zeitzone kennt.
Mögliche Optionen:
•
Wert "1" = Die Zeitzone ist bekannt.
•
Wert "0" = Die Zeitzone ist unbekannt.
Der Parameter isSynced gibt an, ob der Sender mit einer zuverlässigen externen
Zeitquelle synchronisiert ist, z. B. über NTP.
Mögliche Optionen:
•
Wert "1" = Die Systemzeit ist synchronisiert.
•
Wert "0" = Die Systemzeit ist nicht synchronisiert.
Ereignismeldung als ASCII-String in Englisch
Web User Interface (Web UI) SINEC OS v3.0
Projektierungshandbuch, 04/2024, C79000-G8900-C680-03
Werbung
