E-Mail-Security-Events ins SIEM: Splunk, Sentinel und QRadar sauber anbinden

Ein SIEM ist nur so gut wie die Quellen, die es füttern. E-Mail bleibt der häufigste Einfallsvektor, doch die Verdicts des E-Mail-Gateways landen erstaunlich oft nirgends. Dieser Beitrag zeigt, wie E-Mail-Security-Events sauber in Splunk, Microsoft Sentinel, IBM QRadar oder Elastic kommen.

Warum E-Mail-Events ins SIEM gehören

Phishing und BEC laufen selten isoliert ab. Ein verdächtiger Login folgt auf eine Phishing-Mail, ein Datenabfluss auf einen geklickten Link. Nur wenn die E-Mail-Verdicts neben Endpoint-, Firewall- und Identity-Logs liegen, entsteht die Korrelation, die den Angriff früh sichtbar macht. Ohne sie bleibt das Gateway eine Blackbox.

Push oder Pull

Es gibt zwei Wege, Events ins SIEM zu bringen:

• Push per Syslog ist verbreitet, aber fragil. UDP verliert Pakete bei Lastspitzen, und der offene Port muss durch Firewalls geführt werden.
• Pull per REST-API dreht die Richtung um: das SIEM oder ein Collector holt die Events aktiv ab und blättert per Cursor lückenlos weiter. Das ist firewall-freundlich, wiederaufsetzbar und verliert nichts.

Für die meisten Umgebungen ist Pull die robustere Wahl. Ein zusätzlicher Webhook-Push deckt die Fälle ab, in denen Events sofort ankommen sollen.

Die Formate: CEF, LEEF, ECS, JSON

Jedes SIEM bevorzugt ein Format:

• CEF ist der Common Event Format-Standard, ideal für Splunk und ArcSight
• LEEF ist das native Format von IBM QRadar
• ECS ist das Elastic Common Schema, passend für Elastic und Kibana
• JSON ist generisch und flexibel, etwa für Microsoft Sentinel oder eigene Collector

Ein guter Export liefert alle vier nativ, damit Sie keine eigene Transformations-Pipeline bauen müssen.

Anbindung pro SIEM in Kürze

• Splunk: ein REST- oder Modular-Input pollt den Endpunkt, Format CEF, die Felder mappen direkt auf das Common Information Model
• Microsoft Sentinel: eine Logic App pollt und schreibt in eine Custom-Log-Table, Format JSON
• IBM QRadar: eine Universal-REST-Log-Source mit LEEF-Parser
• Elastic: der Filebeat httpjson-Input konsumiert das ECS-Format direkt

Der Vergleich: Conbool gegen Mimecast und Proofpoint

Viele Gateways liefern SIEM-Export nur in teuren Enterprise-Stufen, mit eingeschränkter Formatabdeckung oder über einen US-Cloud-Umweg. Conbool MailGuard bindet nativ und in jeder Lizenz an, in allen vier Formaten, mit EU-Hosting und Mandanten-Tagging. Für Unternehmen, die von einem US-Anbieter weg wollen, ist das ein handfestes Argument. Die vollständige Architektur steht auf der Lösungsseite zum SIEM-Export.

Fazit

Ob Splunk, Sentinel oder QRadar: entscheidend ist ein robuster Abrufmechanismus und das richtige Format. Ein cursor-basierter Pull mit CEF, LEEF, ECS und JSON deckt jedes gängige SIEM ab, ohne eigenen Konvertierungsaufwand.

Weiterführend: SIEM-Export für das E-Mail-Security-Gateway · MailGuard im Detail · Demo anfragen