SiMEVis – SimilarityMap Event Visualization

SiMEVis (Similarity Map Event Visualization) ist ein neues Verfahren zur interaktiven Analyse und Visualisierungen aus Security Information and Event Management (SIEM)-Systemen. Es wurde gemeinsam mit dem Anwendungspartner ekom21 in einem 2-jährigen Projekt entwickelt, das durch das Hessische Ministeriums des Innern, für Sicherheit und Heimatschutz (HMDI) gefördert wurde.

SIEM-Alarme effizient analysieren und IT-Sicherheitsereignisse schneller bewerten

Sicherheitsverantwortliche stehen täglich vor einer Vielzahl von Warnmeldungen aus SIEM-Systemen. Viele dieser Alarme ähneln sich, müssen jedoch einzeln bewertet werden. Dadurch steigt der Aufwand für Analyse, Dokumentation und Einarbeitung neuer Mitarbeitender.

SiMEVis verfolgt das Ziel, ähnliche Sicherheitsereignisse automatisch zu identifizieren und visuell zusammenzuführen. Dadurch lassen sich bekannte Angriffsmuster schneller erkennen und neue Sicherheitsvorfälle effizienter bewerten.

Interaktive Visualisierung und Ähnlichkeitsanalyse von SIEM-Alarmen

Im Mittelpunkt des Projekts steht eine interaktive Ähnlichkeitsanalyse von Alarmen über lange Zeiträume. Sicherheitsereignisse werden anhand ihrer Eigenschaften miteinander verglichen und in einer intuitiven Visualisierung dargestellt. Analystinnen und Analysten erkennen dadurch auf einen Blick, welche Vorfälle bereits bekannt sind und welche Maßnahmen in vergleichbaren Fällen erfolgreich waren.

Der entwickelte Prototyp unterstützt außerdem das Qualitätsmanagement von Alarmdefinitionen. Wiederkehrende Muster und mögliche Optimierungspotenziale in Alarmrichtlinien können leichter identifiziert werden.

Integration in bestehende Sicherheitsinfrastrukturen

Ein besonderer Vorteil von SiMEVis ist seine offene Systemarchitektur.

Der Prototyp kann über standardisierte APIs an Ereignis- und Alarmdaten nahezu aller gängigen SIEM-Systeme angebunden werden. Gleichzeitig bleiben Verknüpfungen zu den Originaldaten im jeweiligen SIEM erhalten, sodass bestehende Arbeitsabläufe unverändert weiter genutzt werden können.

Darüber hinaus können Case-Management-Systeme wie TheHive integriert werden. Dokumentierte Lösungswege früherer Sicherheitsvorfälle fließen dadurch direkt in die Ähnlichkeitsanalyse ein. Dies erleichtert die Bearbeitung neuer Alarme und unterstützt insbesondere die Einarbeitung neuer Mitarbeitender im Security Operations Center (SOC).