Microsoft Sentinel als SIEM in Azure: Vorteile vs. Nachteile

Microsoft Sentinel schützt als SIEM-SOAR-Lösung in Azure mit Defender XDR die komplette IT von KMU & Konzernen. Als All in One-Sicherheits-Tool entlastet Sentinel IT-Teams – bei richtiger Implementierung: Dann reduziert das Microsoft SIEM Fehlalarme und Routineaufgaben, SecOps sparen Zeit. Die Kosten des Cloud-SIEM berechnen sich nach Datenverbrauch. Nachteile gibt’s aber auch. In diesem Artikel erfahren Sie alles rund um Microsoft Sentinel, die Integration mit anderen Microsoft-Plattformen sowie alle Vorteile der Lösung:

• All in One-Sicherheit für KMU & Konzerne: Microsoft Sentinel in Azure schützt als SIEM-SOAR-Lösung mit Defender XDR Ihre komplette IT.
• Entlastet IT-Teams bei richtiger Implementierung: Automatisierung und KI im Microsoft SIEM reduzieren Routineaufgaben, SecOps sparen Zeit.
• Sentinel-Kosten nach Datenverbrauch: Das Cloud-SIEM bietet flexible Preise und Skalierbarkeit.

Microsoft Sentinel (früher Azure Sentinel) hilft, wenn die Unternehmens-IT in einer Flut an Sicherheitswarnungen untergeht: Wie lassen sich Fehlalarme von echten Bedrohungen unterscheiden? Welche Gefahren sollten zuerst angegangen werden und wie verteidigt man eigene Systeme am besten gegen moderne Angreifer?

Die Antwort ist eine smarte Kombination mächtiger Security-Tools – einer SIEM-Datensammlung (Security Information Event Management), der automatischen Analyse und Reaktion (Security Orchestration Automation Management) sowie einer starken Plattform zum Bekämpfen von Bedrohungen.

Microsoft Sentinel vereint SIEM und SOAR in einer zentralen, Cloud-nativen Security-Plattform: Im Zusammenspiel mit Microsofts Defender XDR (früher Microsoft 365 Defender) bündelt Sentinel die komplette Sicherheitsarchitektur von Unternehmen in der Azure-Cloud. Von SIEM-Überwachung bis zur aktiven Bedrohungsabwehr befindet sich alles unter einem Dach –System-Admins verwalten alles über eine einzige Konsole.

Davon profitieren einerseits Mittelständler, die mit Microsoft Sentinel existenzbedrohende Lücken in ihrer IT-Sicherheit schließen– zuverlässig und trotz begrenztem Budget, etwa durch einen Managed Sentinel Service. 

Und anderseits sorgt es für Ressourcenersparnis bei Konzernen mit komplexen IT-Umgebungen, deren Sicherheit faktisch unter unübersichtlich vielen, teuren und zeitintensiv zu verwaltenden Lösungen leidet. Statt zig Sicherheits-Tools gleichzeitig bezahlen und steuern zu müssen, sparen IT-Abteilungen mit dem „Azure-SIEM“ Microsoft Sentinel samt Defender XDR deutlich Kosten und Aufwand – und erhöhen dabei gleichzeitig signifikant ihre IT-Sicherheit.

Weniger ausgeben, aber die Sicherheit erhöhen – und das funktioniert?
Ja, und zwar nicht nur durch weniger kostspielige IT-Ausfälle und Datenlecks (die deutschen Unternehmen im Durchschnitt 4,3 Millionen Euro pro Vorfall kosten). Tatsächlich bietet sich das Microsoft-SIEM als Paradebeispiel an: Traditionelle SIEM-Lösungen sammeln lediglich Log-Daten und übergeben sie an eine Vielzahl weiterer Tools, etwa an eine Endpoint Detection and Response-Lösung. Dieser fragmentierte Ansatz hat Folgen:

• Zahlreiche Sicherheits-Tools und Dashboards müssen neben dem SIEM aufwendig integriert, gewartet und im Blick behalten werden.
• Kosten für Lizenzen und On Premise-Betrieb in der eigenen IT-Infrastruktur laufen aus dem Ruder.
• Die Datenspeicherung und -verarbeitung verteilt sich auf mehrere Orte, Tools und Hersteller. Das erhöht Sicherheitsrisiken, nicht nur aus CISO-Sicht.

Microsoft Sentinel hingegen ermöglicht eine umfassendere Sicherheitslösung für das Cloud-Zeitalter, indem es sich nahtlos mit der hauseigenen SOAR- und Defender-Plattform verbindet. Die Vorteile:

• Eine Security-Plattform mit planbaren Kosten pro Gigabyte: Die Cloud-Technologie bietet eine flexible und skalierbare SIEM- und SOAR-Lösung – abgerechnet wird nach Datenverbrauch.
• Automatisierte Log-Analytics und Reaktion durch integrierte Security Orchestration, Automation and Response mit Defender XDR auf Basis von KI und Automatisierung für schnelle Bedrohungsreaktionen und vereinfachtes Sicherheitsmanagement.
• Native Integration ins Microsoft-Ökosystem, einschließlich Defender, Microsoft Azure, Azure Firewall und Microsoft 365 mit Exchange, SharePoint, OneDrive, Teams & Co.
• Mit Security Copilot soll Microsofts SIEM-SOAR-XDR-Plattform künftig von künstlicher Intelligenz profitieren.

Um die Vorteile der Verzahnung von Microsoft Sentinel mit Defender XDR zu veranschaulichen, beauftragte Microsoft bei den renommierten IT-Marktforschern von Forrester 2022 eine Untersuchung mit ausführlicher Kostenkalkulation – veröffentlicht unter dem sperrigen Titel:«The Total Economic Impact Of Microsoft SIEM And XDR, Cost Savings And Business Benefits Enabled By Microsoft SIEM and XDR“. 

Die Ergebnisse beeindrucken: Demzufolge bietet die Microsoft SIEM-XDR-Kombination aus der Azure-Cloud (bestehend aus Microsoft Sentinel und Microsoft 365 Defender / Defender for Cloud) deutliche finanzielle und operationelle Vorteile:

• In der Forrester-Kalkulation reduzierte sich mit Microsoft Sentinel die Zeit für die Untersuchung von Bedrohungen um 65% und die Reaktionszeit um 88%.
• Die Zeit für die Erstellung einer neuen Sentinel-Arbeitsmappe beschleunigte sich um 90%.
• Die Einarbeitungszeit neuer Sicherheitsfachkräfte reduzierte sich um 91%.
• Das Risiko eines relevanten Sicherheitsvorfalls reduzierte sich um 60%, was laut Forrester beim zur Berechnung herangezogenen Beispielunternehmen einer jährlichen Einsparung von 1,6 Millionen US-Dollar entspricht.
• Eine starke Steigerung der Produktivität aller Mitarbeitenden, etwa durch reduzierte IT-Ausfallzeiten (im Beispiel-Unternehmen der Studie mit 8.000 Mitarbeitern wurden fast 68.000 Stunden jährlich eingespart).
• Einsparungen von fast 1,6 Millionen US-Dollar jährlich durch Anbieter-Konsolidierung und Reduzierung vorhandener SIEM- und EDR- und SOAR-Tools.
• Weitere Vorteile wie verbesserte Sichtbarkeit, Compliance und besseres IT-Asset-Management.

Über drei Jahre gesehen betrug der Return on Investment 207 Prozent und der Netto-Gesamtgewinn fast zwölf Millionen US-Dollar (durch die eingesparten Kosten mit konsolidierten Microsoft SIEM/Sentinel- und XDR-Gebühren, schnellere Bereitstellung und Integration, eingesparte Zeit bei Schulung und laufendem Management, Abwehr und schnellere Behebung von Datenlecks usw.).

Das Wort „Orchestration“ bei einem SIEM/SOAR kommt nicht von Ungefähr: In einem Orchester arbeiten viele verschiedene Instrumente harmonisch zusammen, um ein beeindruckendes musikalisches Werk zu schaffen. Ähnlich verhält es sich mit der Orchestrierung in der IT-Sicherheit: Hier koordiniert Sentinel die Daten eines SIEM, reagiert per SOAR automatisch darauf und sorgt per Defender sofort für die Gefahrenbeseitigung. Jedes Tool kennt seinen Part und setzt zum richtigen Zeitpunkt an. Und das funktioniert wie folgt:

• Zentralisierte Datenerfassung: Sentinel aggregiert mit SIEM-Funktionen sämtliche Daten (nicht nur Sicherheitsdaten) aus einer Vielzahl von Quellen – von Endpunkten über Cloud-Dienste bis hin zu Log-Dateien von Anwendungen. Beispielsweise überwacht das Microsoft SIEM Anmeldedaten über verschiedene Plattformen hinweg, um ungewöhnliche Zugriffsversuche, die etwa auf Credential Stuffing hindeuten könnten, frühzeitig zu erkennen.
• KI-basierte Erkennungsalgorithmen: Durch die Einbindung von Defender XDR profitiert das Sentinel SIEM von fortgeschrittenen Erkennungsmechanismen, die auf KI und maschinellem Lernen basieren. So identifiziert und priorisiert Sentinel automatisch komplexe Angriffsketten, die herkömmliche Erkennungsmethoden umgehen könnten.

Mit seinen SOAR-Funktionen verringert Sentinel die Zeit, die zwischen der Erkennung und der Reaktion auf eine Bedrohung vergeht – was das Risiko wie auch die Dauer von kostspieligen Ausfallzeiten und Datenlecks reduziert.

• Dynamische Sentinel-Playbooks: Die Möglichkeit, Reaktionsstrategien für bestimmte Sicherheitsvorfälle zu automatisieren, entlastet das SecOps-Team und gibt Stunden für wichtigere Dinge frei, etwa für strategische Sicherheitsfragen. Beispiel: Ein automatisiertes Playbook erkennt Phishing-Versuche, isoliert und untersucht die betroffenen Daten ohne manuellen Aufwand für einen Admin, noch bevor sich Ransomware installieren oder sonstiger Schaden entstehen kann.
• Tiefe Integrationen: Die enge Verzahnung mit dem Microsoft Sicherheitsökosystem, einschließlich Defender XDR und Microsoft 365 Defender, erweitert die Überwachungs- und Reaktionskapazitäten über das gesamte digitale Umfeld eines Unternehmens.

Erst die Integration von Sentinel mit seinen SIEM- und SOAR-Funktionen in Microsofts Defender XDR schafft eine ganzheitliche Sicherheitslösung, die Echtzeit-Analysen samt Reaktionen ermöglicht.

• 360-Grad-Rundumblick: Durch die Verknüpfung mit Defender XDR erhält Sentinel umfassende Einsicht in alle Ebenen der IT-Umgebung, von Endpunkten bis hin zu Cloud-Anwendungen. Beispiele: die nahtlose Überwachung von Endpunktaktivitäten und die frühzeitige Erkennung von unautorisierten lateralen Bewegungen innerhalb des Netzwerks.
• Beschleunigte Incident Response: Die Kombination von Sentinel und Defender XDR ermöglicht schnellere Reaktionszeiten nach identifizierten Bedrohungen.  So erfolgt etwa die Quarantäne betroffener Systeme automatisiert, um eine Ausbreitung frühestmöglich zu verhindern.

Vorteil 1: Umfassende Integration und Transparenz

Microsoft Sentinel enthält eine native Integration mit Microsoft-Produkten und bietet gleichzeitig mit zahlreichen Data Connectors Möglichkeiten zur Einbindung von mehr als 180 Drittanbieter-Systemen. Diese umfassende Kompatibilität ermöglicht eine zentralisierte Sicht auf Bedrohungen in sämtlichen Datenbeständen über das gesamte digitale Ökosystem hinweg.
Durch die Aggregation von Sicherheitsdaten aus verschiedenen Quellen vereinheitlicht Sentinel die Sicht auf die Sicherheitslage – so können IT-Teams auch verborgene Bedrohungen identifizieren und analysieren.

Vorteil 2: Kosten nach Datenverbrauch und Skalierbarkeit

Die cloudbasierte Infrastruktur von Sentinel bietet eine flexible Preisgestaltung, die sich nach dem tatsächlichen Verbrauch pro Gigabyte richtet. Das hilft, die Gesamtbetriebskosten zu senken. Die Implementierung von Sentinel kann – wenn man der oben genannten Forrester-Kalkulation folgt – das Risiko erheblicher Sicherheitsverletzungen um bis zu 60% reduzieren, was in dem Beispiel-Szenario zu einem ROI von 207% über drei Jahre führte. Hinzu kommt: Als Cloud-native Plattform passt sich Microsoft Sentinel dem Wachstum und den Sicherheitsbedürfnissen des Unternehmens an.

Vorteil 3: Effizienzsteigerung für SecOps-Teams

Mehr Zeit für wichtigere Tasks: Microsoft Sentinel automatisiert Routineaufgaben und hilft SecOps-Teams Ihren Fokus auf kritische Bedrohungen oder strategische Planung zu legen. Durch tiefgreifende Analyseprozesse und maschinelles Lernen minimiert Sentinel zudem die Anzahl von Fehlalarmen und verbessert somit die Genauigkeit der Bedrohungserkennung.

Trotz der genannten Vorteile bietet die Implementierung von Sentinel auf einige Herausforderungen: Diese betreffen nicht nur technische Aspekte, sondern auch Kostenstrukturen und die strategische Planung, die oft nur durch erfahrene externe Dienstleister zu bewältigen ist.

Herausforderung 1: Verständnis der tatsächlichen SIEM-Kosten

Zwar basiert das Preismodell von Microsoft Sentinel auf einfachem Datenverbrauch (Preis pro verarbeitete Gigabyte), dennoch berichten Kunden von einer schwer kalkulierbaren Preisgestaltung, insbesondere in Kombination mit anderen Microsoft-Lizenzen – eine saubere Kosten-Nutzen-Rechnung ist somit das A und O.

Herausforderung 2: Microsoft-Bindung und Abhängigkeit

Die einfache Integration von Microsoft-Produkten in Sentinel kann zu einer Abhängigkeit von nativen Microsoft-Funktionen und -Preisen führen: Eine zu starke Abhängigkeit von einem einzigen Anbieter kann die eigene Flexibilität einschränken, wenn man auf einen anderen Service umsteigen möchte. Darum ist es wichtig, die Auswahl von Sicherheits-Tool gründlich zu planen, um solche Abhängigkeiten zu minimieren.

Herausforderung 3: Sentinel-Implementierung und 24/7-Monitoring sind komplex

Mit der Aktivierung einer Sentintel-Lizenz ist es bei Weitem nicht getan: Die 24/7-Wartung kann sich mitunter als große Herausforderung herausstellen, angefangen beim Aufsetzen von Logs über die Einbindung von Datenquellen bis hin zur Feinjustierung im Unternehmen – all das erfordert ein tiefgreifendes Verständnis und entsprechende Ressourcen. Beispiele:

• Sammeln von Sicherheitssignalen über verschiedene Umgebungen: Microsoft Sentinel muss konfiguriert werden, damit die Sammlung von Sicherheitssignalen wie gewünscht funktioniert – über alle Geräte, Benutzer und Anwendungen hinweg, unabhängig davon, ob sie in der Cloud oder On-Premise sind. Um Bedrohungen effektiv zu identifizieren und zu bekämpfen, ist diese lückenlose Überwachung essenziell. Je nach Grad der Heterogenität und Komplexität einer IT-Landschaft kann diese Aufgabe kompliziert werden – und nicht „nebenbei“ erledigt werden.
• Fehlalarme und Untersuchungszeiten: „False Alerts“ sind für Sicherheitsteams lästig und zeitfressend – zumal sie die Reaktion auf echte Bedrohungen, die in der Masse untergehen, verzögern. Dies kann schwerwiegende, kostspielige Folgen haben. Durch den Einsatz von KI, maschinellem Lernen und Microsofts Threat Intelligence kann Sentinel Fehlalarme minimieren und die Untersuchung und Reaktion auf Vorfälle beschleunigen. Doch auch hier gilt: Auf die korrekte Implementierung kommt es an.
• Komplexität der Sicherheitsoperationen: Viele Unternehmen empfinden das Management Ihrer kompletten Security schwieriger als noch vor zwei Jahren. Zudem sehen 70 Prozent der Unternehmen Schwierigkeiten beim Recruiting von gutem Sicherheitspersonal. Die Kombination aus komplexen Lösungen und Fachkräftemangel sorgen für Überforderung – und das wiederum resultiert in möglichen Sicherheitslücken.

Vor der Entscheidung für Microsoft Sentinel als Kernelement der IT-Sicherheit entscheiden, müssen sich Unternehmen mit den damit verbundenen Kosten und Lizenzmodellen auseinandersetzen – logischerweise muss Microsofts SIEM-Lösung effektiv budgetiert und rentabel sein. Zu den Kalkulationen zählen nicht nur die Kosten der Plattform selbst, sondern auch die Übertragung von Daten aus On-Premises und Drittanbieter-Cloud-Assets.

Kostenstruktur und Lizenzen von Sentinel

Microsoft Sentinel zeichnet sich auf den ersten Blick durch eine klare und vorhersehbare Kostenstruktur aus, die eine Bewertung seiner Effektivität für Unternehmen aller Größen ermöglicht: Die Sentinel-Preise richten sich, wie eingangs erwähnt, nach den analysierten und den im Azure Monitor Log Analytics-Workspace gespeicherten Daten.

Aber auf den zweiten Blick kommen weitere Kosten hinzu:

• Azure Monitor-Kosten: Sentinel nutzt Azure Monitor zur Datensammlung, wobei sich die Kosten nach dem Volumen und der Speicherdauer der Daten richten. Dies bietet eine planbare Kostenbasis abhängig vom tatsächlichen Verbrauch.

• Kosten für Azure Logic Apps: Zur Automatisierung und Erstellung von Playbooks werden Azure Logic Apps eingesetzt. Die Kosten hierfür basieren auf der Anzahl der Ausführungen, was eine flexible Anpassung an die Sicherheitsbedürfnisse erlaubt.

Zusammenfassung

1. Integrierte Sicherheitsarchitektur: Microsoft Sentinel kombiniert SIEM und SOAR, wodurch Unternehmen ihre gesamte IT-Sicherheit vereinfachen und Geld sparen. Durch die enge Verzahnung mit Defender XDR kann auf Sicherheitsvorfälle viel schneller reagiert werden.
2. Blitzschnelle Reaktion auf Bedrohungen: Automatisierte Analysen und KI-gestützte Erkennung helfen bei der schnellen Beseitigung von Malware. Die native Integration in das Microsoft-Ökosystem ermöglicht eine schnelle Anpassung an neue Sicherheitsherausforderungen.
3. Kostenkontrolle und Skalierbarkeit: Als Cloud-Lösung ist Sentinel kostenseitig gut zu kontrollieren und lässt sich schnell skalieren.
4. Innovation durch KI: Die zukünftige Integration von KI-Tools wie Security Copilot verspricht eine bessere Erkennung von neuen Bedrohungen und entlastet Sicherheitsteams.

Die Lösung? Sentinel-Kosten senken mit dediziertem MSSP

Um die Kosten von Tag 1 an unter Kontrolle zu halten und auch im Betrieb nachhaltig zu senken, sollten Sie sich von einem starken Beratungs- und Implementierungspartner beraten lassen. Ein solcher Managed Security Service Provider kann deutlich Kosten bei Microsoft Sentinel sparen und bringt gleichzeitig eine Menge Erfahrung mit.