Managed Detection

Eine Detection-Fähigkeit aufbauen

Protokolle zu sammeln ist noch keine Detection. Ohne passende Quellen, ohne auf Ihre Umgebung zugeschnittene Regeln und ohne menschliche Qualifizierung kostet eine Plattform viel und erzeugt nur Rauschen. So bauen wir eine Detection auf, die sich wirklich nutzen lässt.

Die Herausforderung

Das Problem sind nicht die Daten, sondern das Signal

Die meisten Organisationen verfügen bereits über Protokolle — Verzeichnis, Endpoints, Firewall, Cloud —, können aber einfache Fragen nicht beantworten: Wüssten wir, dass ein privilegiertes Konto von einem ungewöhnlichen Gerät aus genutzt wurde? Dass ein Zugriff ausserhalb des Verfahrens angelegt wurde? Dass eine Exfiltration begonnen hat?

Zwei Fallstricke kehren wieder. Der erste: alles ohne Priorität zu sammeln, was die Kosten der Datenaufnahme explodieren lässt, ohne die Detection zu verbessern. Der zweite: die Standardregeln unverändert zu lassen, die zu viele Alarme von geringem Wert erzeugen — das Verfahren wird bald ignoriert, und die echten Signale gehen unter.

Unser Vorgehen geht von den Szenarien aus, die Sie tatsächlich bedrohen, wählt die Quellen, die sie abdecken, und schreibt und justiert dann die passenden Detections. Die menschliche Qualifizierung vervollständigt das Ganze: Ein Alarm ist nur etwas wert, wenn ihn jemand bearbeitet und abschliesst.

Was auf dem Spiel steht

Kritische Quellen fehlen im Erfassungsumfang
Zu viele Alarme — niemand bearbeitet sie mehr
Allgemeine Detections, nicht auf Ihre Umgebung zugeschnitten
Kein Verfahren für Qualifizierung und Eskalation
Kosten der Datenaufnahme laufen ohne Detection-Gewinn davon

Schema

Eine Kette, in der jede Stufe filtert und anreichert

Die Plattform erfasst und normalisiert; der Betrieb macht aus Ereignissen qualifizierte Alarme und daraus Massnahmen.

Unser Vorgehen

Wie wir vorgehen

Wir beginnen auf einem engen, aber nützlichen Umfang und erweitern, sobald sich die Kette bewährt hat.

Bedrohungsszenarien

Bestimmung der Szenarien, die Sie tatsächlich betreffen — Ransomware, Kompromittierung von Postfächern, Missbrauch privilegierter Konten, Exfiltration — und der vorrangig zu schützenden Assets.

Auswahl der Quellen

Auswahl der Protokolle, die diese Szenarien abdecken, mit einer ausgesprochenen Abwägung zwischen Detection-Wert und Kosten der Datenaufnahme. Fünf gut genutzte Quellen sind mehr wert als dreissig ungenutzte.

Detection Use Cases

Schreiben und Justieren der Regeln, ausgerichtet an MITRE ATT&CK, mit Schwellenwerten, die zu Ihrer Umgebung passen. Zu jeder Detection gehört ihr Bearbeitungsverfahren.

Triage und Rauschunterdrückung

Aufbau des Qualifizierungsprozesses, der Prioritäten und der Eskalation, danach schrittweise Justierung, um wiederkehrende Fehlalarme zu beseitigen.

Betrieb und Weiterentwicklung

Managed-Überwachung (SOC-E oder SOC-X), proaktives Threat Hunting, verständliches Reporting und laufende Anreicherung der Detections, während sich Ihre Exposition verändert.

Eingesetzte Leistungen

Mehrere Disziplinen, eine Ansprechperson

Detection aufbauen, betreiben und wissen, wie zu reagieren ist, wenn sie auslöst: Die drei gehören zusammen.

SOC Cybersecurity-Lösungen Forensik & Incident Response Penetrationstest

Ergebnisse

Priorisierte Bedrohungsszenarien und die zugehörigen Quellen
Erfassungsplattform konfiguriert und dokumentiert
Bibliothek von Detection Use Cases
Verfahren für Triage, Priorisierung und Eskalation
Regelmässiges Reporting und Plan zur laufenden Verbesserung

Häufige Fragen

Nein, und genau hier liegt der grösste Sparhebel. Wir gehen von den zu erkennenden Szenarien aus, um die Quellen zu wählen, die sie abdecken. Eine lückenlose Erfassung kostet viel an Datenaufnahme und Speicher, ohne die Detection zu verbessern, wenn keine Regel sie nutzt.

Eine brauchbare Grundlage — Hauptquellen, erste Detections, Triage-Verfahren — steht in wenigen Wochen. Der Reifegrad wächst danach in Schritten, indem Use Cases hinzukommen und Schwellenwerte verfeinert werden.

Nein. Unsere Managed-Überwachung läuft zu Geschäftszeiten, mit klaren Eskalationsverfahren. Wir sagen das lieber deutlich, als eine durchgehende Abdeckung zu versprechen, die wir nicht leisten.

Wir arbeiten vorwiegend mit Microsoft Sentinel und der Defender-Suite, wo unser Mehrwert am grössten ist. Falls Sie eine andere Plattform betreiben, besprechen wir das: Je nach Ausgangslage bezieht sich die Begleitung dann auf die Use Cases und den Triage-Prozess statt auf das Werkzeug.

Würden Sie einen Einbruch heute erkennen?

Gehen wir von Ihren Bedrohungsszenarien aus: Wir stecken die Quellen und Detections ab, auf die es wirklich ankommt.

Kontakt aufnehmen