Sicherheitsmonitoring mit Splunk Enterprise
Regionaler Energieinfrastruktur-Betreiber in Deutschland (anonymisiert)
Die Ausgangslage:
Der Kunde ist ein regionaler Betreiber im Energiesektor und damit Teil des KRITIS-Bereichs. Er betreibt operative Technologie- und Netzwerkinfrastrukturen, die kontinuierlich überwacht werden müssen. Treiber waren gesetzliche Vorgaben und Audits, insbesondere die Pflicht zum Einsatz von Systemen zur Angriffserkennung (SzA) nach § 31 Abs. 2 BSIG, einschließlich des regelmäßigen Wirksamkeitsnachweises. Zudem sollte das interne Security Operations Center (SOC) bei Erkennung und Bewertung von Sicherheitsereignissen unterstützt werden.
Unsere Lösung:
Einsatz von Splunk Enterprise als zentrale Plattform für Sicherheitsmonitoring und Auswertung. Sie deckt Anwendungsfälle aus den Bereichen Identität, operative Technologie (OT), Firewall und Netzwerk ab.
Die Architektur besteht aus vier Komponenten:
- Auswertung: Zentrale Analyseebene mit SIEM-Fokus für Suche, Korrelation und Bewertung sicherheitsrelevanter Ereignisse
- Datenhaltung: Skalierbarer Speicher für große Datenmengen und performante Abfragen
- Datenerfassung: Agenten auf den überwachten Systemen, ergänzt um zwischengeschaltete Collector zur Filterung, Anreicherung und Weiterleitung der Daten
- Syslog-Anbindung: Standardisierte Syslog-Schnittstelle zur strukturierten Aufnahme von Firewall- und Netzwerkdaten
Betreiber kritischer Infrastrukturen stehen unter doppeltem Druck: Die Bedrohungslage verschärft sich und gleichzeitig verlangt das BSI-Gesetz mit § 31 Abs. 2 den Einsatz von Systemen zur Angriffserkennung samt regelmäßigem Wirksamkeitsnachweis. Für unseren Kunden hieß das: Ereignisse aus IT, OT, Firewall und Netzwerk müssen an einer Stelle zusammenlaufen, damit Auffälligkeiten rechtzeitig erkannt werden.
Entscheidend war dabei nicht nur die Technik. Das SOC brauchte Kontext und Priorisierung, um Vorfälle schnell bewerten zu können, und die Nachweise für Audits sollten direkt aus dem laufenden Betrieb entstehen.
Christian Müller | Principal Technology Consultant (SHD)
Umsetzung:
Nach fachlichem Konzept und Basisimplementierung wurde die Plattform schrittweise ausgebaut:
- Separate Testumgebung für kontrollierte Änderungen
- Kontinuierliche Anbindung weiterer Datenquellen
- Rollen- und Berechtigungskonzept
- CMDB-Anbindung zur Anreicherung der Events mit Asset-Kontext
- Versionierte Konfiguration über GitLab bzw. GitHub
Ergebnis:
- Regulatorische Sicherheit: Gesetzliche Anforderungen werden besser erfüllt, Audits mit belastbaren Nachweisen unterstützt.
- SzA-Anforderungen: Kontinuierliche Erkennung und Bewertung sicherheitsrelevanter Ereignisse über IT und OT hinweg.
- Handlungsfähiges SOC: Zentrale Sicht auf Sicherheitsereignisse für das Security-Team.
- Skalierbare Basis: Laufende Erweiterung um neue Datenquellen und Use Cases.
Bildquelle: Splunk, Shutterstock