Technologie · Plattform und Betrieb
UnterderHaube:dreiSchichten
Wir arbeiten mit einer Auswertungsplattform, die für Nachweise gebaut ist: Ereignisse bleiben roh erhalten, Regeln sind versioniert, jede Lage hat eine Akte. Diese Seite zeigt die Schichten, die Sammler, die Datenhaltung und die Werkzeugliste.
- 42
- Sammlertypen im Setup
- 1180
- Detection-Regeln, versioniert
- 400 Tage
- Rohevents abrufbar
- FR · DE
- Rechenort und Vertrag
VonRohbisLagebildindreiSchichten
Aufnahme, Auswertung, Nachweis: Jede Schicht hat eine eigene Verantwortung, und nichts überspringt eine Schicht. Roh bleibt Roh — nur so ist eine Auswertung drei Monate später nachvollziehbar.
Schicht eins nimmt Ereignisse an, normalisiert sie und schreibt sie unveränderlich. Schicht zwei bewertet mit Regeln gegen Grundraten und baut daraus Lagen. Schicht drei ist der Nachweis: Akte, Protokoll, Bericht. Ein Vorfall, der in Schicht zwei entstand, endet in Schicht drei mit einem Dokument, das eine Prüfung lesen kann.
- Regeländerungen laufen über die Versionskontrolle mit Freigabe, Rollout in zwei Stufen
- Grundraten werden je Kunde gelernt, nicht aus einer Vorlage gesetzt
- Jede Auswertung trägt Regelversion, Datenstand und Ausführenden
Events laufen in Straßen, das Bewertungsband zieht darüber, Auslösungen landen in der Akte.
Was wir anbinden, und in welchem Takt
Der Standardauszug aus einem Betrieb mit 2 400 Endpunkten. Wo eine Quelle fehlt, sagen wir es in der Angebotsphase: Abdeckung ist eine Rechnung, keine Behauptung.
| Quelle | Sammler | Takt | Volumen |
|---|---|---|---|
| Windows-Domäne | Event Forwarder | Ereignis | 38 GB/Tag |
| Linux-Hosts | Agent, schlanker Collector | 5 min | 11 GB/Tag |
| Endpoint-EDR | API-Import | 15 min | 24 GB/Tag |
| Firewall & Netflow | Syslog + Sampler | Ereignis | 52 GB/Tag |
| VPN-Gateway | Syslog | Ereignis | 4 GB/Tag |
| Microsoft 365 | Graph-API | 30 min | 18 GB/Tag |
| AWS / Azure | Cloud-Trail, Activity Log | 5 min | 31 GB/Tag |
| OT / ICS | Spiegelung, passiv | Ereignis | 9 GB/Tag |
| Identitäten (Entra, LDAP) | API-Import | 15 min | 6 GB/Tag |
| Mail-Gateway | Journal + API | Ereignis | 14 GB/Tag |
OT-Quellen sammeln wir passiv: Spiegelung, kein aktiver Scan, keine Freigabe im Leitsystem nötig.
Volumina und Taktzahlen sind Beispielwerte der Demonstrationsumgebung.
Allesbleibt,woderVertraggilt
Datenhaltung in der EU: Ereignisse, Akten und Protokolle liegen in Frankfurt am Main, betrieben von eigenem Personal, mit Rollen, die den Zugriff vom Recht her begrenzen.
Rohevents bleiben 400 Tage abrufbar — lang genug, um einen Vorfall zu rekonstruieren, der erst nach drei Monaten auffällt. Zugriff ist zweigeteilt: Der Betrieb arbeitet mit Lagebildern, die Archivare mit rohen Belegen, und beide Zugriffe werden protokolliert. Eine Weitergabe an Dritte findet nicht statt; Subdienstleister für Eventdaten haben wir keine.
- Rechenort Frankfurt am Main, Verschlüsselung in Ruhe und auf dem Weg
- Rohevents 400 Tage, Akten und Protokolle fünf Jahre
- Löschen auf Wunsch nach Vertragsende, mit Nachweis
- Kein Training von Sprachmodellen mit Ihren Daten
Bereich für Bereich füllt sich die Aufbewahrung; die Zeile für Rohevents reicht am weitesten.
WerkzeugemiteinerSourceofTruth
Kein Werkzeug besitzt seine eigene Wahrheit: Akte, Lagebild und Protokoll entstehen an einer Stelle. Was die Liste nennt, ist im Einsatz — inklusive der Eigenbauten, deren Quelltext wir kennen.
Werkzeuglisten in Angeboten sind oft Wünsche. Diese Liste ist der Ist-Zustand des Betriebs, mit Zweck und Lizenz. Zwei Positionen sind Eigenbauten, weil uns die Nachweiskette wichtiger war als Funktionsumfang: die Auswertungsplattform Strata und die Fallakten TheHunt.
- Eigenbau dort, wo der Nachweis entsteht; Standard dort, wo Normen gelten
- Jedes Werkzeug hat eine verantwortliche Person und ein Updatefenster
- Abweichungen von der Liste stehen im Quartalsbericht
Die Tabelle steht unter diesem Bild; die Grafik zeigt die Netze, in denen die Werkzeuge arbeiten.
Werkzeugliste des Betriebs
| Werkzeug | Zweck | Lizenz |
|---|---|---|
| Auswertungsplattform „Strata“ | Events, Regeln, Lagebilder, Protokolle | Eigenbau |
| Suchcluster Frankfurt | Volltext und Zeitreihe, 400 Tage | Open Source |
| Regelbestand nach Sigma-Form | 1 180 Detection-Regeln, versioniert | Open Source |
| Fallakten „TheHunt“ | Fall, Belege, Kette, Bericht | Eigenbau |
| Telefonanlage und Messenger (FR) | Meldeketten, Schichtbuch | Miete DE |
| Versionskontrolle, selbst gehostet | Regeländerungen, Freigaben, Rollouts | Open Source |
- 2
- Eigenbauten im Kern
- 99,95 %
- Plattformlauf letzte 12 Monate
- 4 h
- Wiederanlauf nach Ausfall, Ziel
- 0
- Eventdaten bei Drittanbietern