So arbeiten wir
Erkennung meldet. Verteidigung greift ein.
Ein SIEM zeigt Ihnen, dass etwas passiert ist. Wir bauen dazu die Reaktion, die eingreift, statt nur zu protokollieren.
Typische Ausgangslagen
- „Unser SIEM erzeugt Alarme. Was danach passiert, hängt davon ab, wer gerade Zeit hat.“
- „Wir wissen nicht, ob unsere Erkennung einen echten Angriff überhaupt sehen würde.“
Was wir tun
Ein SIEM erkennt und protokolliert, das ist seine Aufgabe und seine Grenze. Verteidigung ist aktiv: Auf einen Alarm folgt eine Handlung. SOAR ist der Oberbegriff für diese Reaktion, automatisiert, wo es geht. Sitzung trennen, Konto sperren, System isolieren, Verdächtiges in eine Sandbox schicken statt auf den Arbeitsplatz lassen: Sandboxing und Jailing sind aktive Maßnahmen, keine Protokolleinträge. Und wir verlassen uns nicht darauf, dass die Erkennung funktioniert, weil sie eingerichtet wurde. Wir prüfen sie gegen echte Angriffstechniken, nicht gegen eine Checkliste.
So starten wir
- Woche 1
Aufnahme
Welche Erkennung bei Ihnen läuft, welche Alarme entstehen und was heute darauf folgt.
- Woche 2 bis 4
Reaktion festlegen
Je Alarmtyp: welche Handlung, automatisch oder mit Freigabe, und wer sie sieht.
- danach
Testen und scharfstellen
Die Erkennung gegen reale Angriffstechniken prüfen, dann die Reaktion aktivieren, Schritt für Schritt.
Für Ihre IT
SIEM-Betrieb und Alarmauswertung, Isolierung von Endpoints, Sperren von Konten und Sitzungen, Sandboxing und Jailing verdächtiger Prozesse, Sperrlisten am Perimeter.
Erkennung wird gegen reale Angriffstechniken getestet, nicht angenommen. Ergebnisse fließen zurück in die Regeln.
Ein SIEM erkennt und protokolliert. Ob auf einen Alarm eine Handlung folgt, ist eine andere Frage, und die beantwortet die Reaktion, nicht das SIEM.
Das entscheiden Sie je Alarmtyp. Was automatisch läuft und was eine Freigabe braucht, legen wir gemeinsam fest, und jede Handlung steht im Protokoll.
Was folgt bei Ihnen heute auf einen Alarm?
30 Minuten. Wir sehen uns Ihre Erkennung an und was ihr heute folgt.