Leistungen · Fünf Bausteine, ein SOC
VomerstenBlickbiszumNachweis
Penumbra liefert keine Werkzeuge, sondern Betrieb: Wir erfassen, was Sie haben, werten es rund um die Uhr aus, greifen ein, wenn es brennt, sichern Spuren und stellen Angriffe nach. Alles aus einer Hand, in der EU, mit Protokollen, die einer Prüfung standhalten.
- 42
- Datenquellen im Standardsetup
- 1 180
- Detection-Regeln, gepflegt
- 11 min
- Median bis Eindämmung
- 400 Tage
- Aufbewahrung der Rohevents
Erstkennen,dannschützen
Surface-Area-Erfassung: ein Vermessungsring wandert über Ihr Netz und meldet, was dort tatsächlich lebt — Hosts, Container, Cloud-Konten, Endpunkte, OT-Gateways, Verzeichnisse. Die Karte bleibt, wo das Netz sich bewegt.
Die meisten Vorfälle beginnen auf einer Oberfläche, die niemand auf dem Schirm hatte: ein Testsystem, das nie abgeschaltet wurde, ein Speichercontainer mit offenem Zugriff, ein Dienstkonto ohne Ablaufdatum. Wir erfassen Oberflächen aktiv, nicht aus einem Export: pro Tag läuft der Ring einmal vollständig, Änderungen melden sich innerhalb von zwölf Sekunden.
- Erfassung über Agent, agentless und Cloud-APIs — gemessen werden 4 812 Oberflächen in der Demonstrationsumgebung
- Bewertung nach Erreichbarkeit, Datenzugriff und Alter, nicht nach Asset-Typ
- Wöchentliche Differenzliste: neu, geändert, verschwunden — mit Zuständigkeit
Der Ring wandert über das Netz, Knoten leuchten beim Erfassen auf. Dargestellt sind 22 Knoten, 4 812 Oberflächen.
Auswertungen,diejemandenwecken
Managed Detection & Response: Events laufen in Streams, Regeln bewerten sie, und am Ende steht immer eine Entscheidung eines Menschen — Weiter beobachten, Kunde informieren, Eindämmung einleiten.
128 402 Auswertungen an einem Tag sind keine Kennzahl, die beeindruckt, sondern die, die verrät, wie viel an Ihnen vorbeiläuft, wenn niemand hinschaut. Unser SOC prüft jeden Alarm, der eine Regel auslöst, und jede Prüfung endet mit einem Eintrag im Schichtbuch. Was Sie bekommen, ist kein Dashboard, sondern ein Anruf mit Lagebild und zwei Optionen.
- Rund um die Uhr besetzt, drei Schichten, 14 Analystinnen und Analysten
- Triage-Median 2:40 Minuten, Eskalation nach festem Stufenplan
- Jede Schicht übergibt schriftlich: offene Lagen, Beobachtungen, Verabredungen
Drei Datenstraßen, Bewertungsband, Auslösungen. Die Zählung endet in einem lesbaren Stand: Auswertungen geprüft.
Spurensichern,bevorderAlltagzurückkommt
Incident Response und Forensik: Wir trennen, sichern, rekonstruieren. Jede Sicherungskette ist protokolliert, jeder Beleg hat einen Zeitstempel und eine Herkunft.
Ein Vorfall ist erst dann abgeschlossen, wenn Sie erklären können, was passiert ist, welche Systeme betroffen waren und welche Schritte die Prüfung überzeugt. Unsere Forensik arbeitet in Berlin, in der Regel binnen vier Stunden nach Beauftragung am ersten Beleg, und schreibt die Kette mit: Sicherung, Hash, Verantwortlichkeit, Aufbewahrung.
- Erstansprache und Empfehlungen innerhalb einer Stunde nach Meldeweg
- Sicherung nach Chain-of-Custody, Auswertung der Rohevents bis 400 Tage zurück
- Bericht in zwei Fassungen: technisch für den Betrieb, zusammengefasst für die Geschäftsführung
Beleg für Beleg mit Zeitstempel und Hash, die Kette schließt sich von oben nach unten.
Angriffenachstellen,dieSienochnichthatten
Red Team und Penetrationstests: ein Angreiferpfad durch Ihr Netz, von der ersten Mail bis zum Beleg — geplant, protokolliert, mit den Stellen, an denen die Kette gerissen hat.
Wir testen entlang von Szenarien, nicht nach Checklisten: Initialzugang über einen legitimen Weg, Bewegung, Rechteausweitung, Datenzugriff, Nachweis. Jeder Schritt wird im Protokoll festgehalten, inklusive der Zeit, zu der Ihre Detect-and-Response-Kette ihn hätte sehen müssen. Am Ende steht ein Pfad, den Sie nachvollziehen können — und eine Liste von Änderungen, die denselben Pfad beim nächsten Mal schließen.
- Scope abgestimmt, mit Meldeketten für echte Alarme während des Tests
- Ergebnis als Pfad mit Zeitachse, nicht als Fundliste
- Wiederholungstest nach sechs Wochen auf den geschlossenen Stellen
Ein Pfad durchs Netz, von der ersten Mail bis zum Beleg; die hellste Station ist der weiteste erreichte Punkt.
Nachweise,dieausdemBetriebwachsen
Compliance und NIS2-Beratung: Die Abdeckung füllt sich Zeile für Zeile aus dem, was Ihr Betrieb täglich produziert — und bleibt nach der Prüfung aktuell.
Wir bauen Nachweise aus Betriebsdaten, nicht aus Workshops: Wer eine Anforderung beantwortet, sieht im System die Regel, den Beleg und die verantwortliche Person. Bei der NIS2-Umsetzung in der Demonstrationsumgebung waren elf von zwölf Prüffragen durch die Monatsauswertung bereits beantwortet.
- NIS2, ISO 27001, DORA und KRITIS-Anforderungen im selben Raster
- Belegkette je Anforderung: Regel, Ereignis, Verantwortliche, Stand
- Monatsauswertung als Prüfgrundlage, jederzeit aktualisierbar
Zeile für Zeile füllt sich die Abdeckung; die letzte Zeile bleibt offen, bis der Beleg da ist.
Die ersten 30 Tage im Betrieb
Kein Einführungsprojekt mit Abnahme am Ende: Nach dreißig Tagen läuft der Betrieb, und Sie kennen die Kette für den Ernstfall.
01
42 QuellenTag 1–7: hinsehen
Wir hängen die Sammler an, die Ihr Netz schon hat: Fenster,EDR, Cloud-Events, VPN, Mail, Identitäten. Nichts Neues zum Installieren, wo es vermeidbar ist.
02
1 180 RegelnTag 8–16: ordnen
Jede Quelle bekommt ein Verantwortlichkeitsprofil und einen Takt. Aus Rohereignissen werden auswertbare Ströme, aus Strömen Detection-Regeln, die zu Ihrem Betrieb passen.
03
1 ProbealarmTag 17–30: üben
Ein geplanter Übungsalarm in Ihrer Schicht: Anruf, Lagebild, Entscheidung, Protokoll. Danach wissen Sie, wer um drei Uhr nachts was tut — und ob die Kette trägt.
Alle Zahlen auf dieser Seite sind Beispielwerte der Demonstrationsumgebung.