Man merkt, dass das Dashboard nicht funktioniert, wenn alle darauf schauen und die nächste Frage immer noch lautet: „Und was machen wir jetzt?“
Das passiert bei SOC-Prüfungen. Das passiert bei Führungsberichten. Das passiert, wenn ein Analyst während einer Untersuchung eine Ansicht öffnet und die ersten paar Minuten damit verbringt, herauszufinden, was auf der Seite eigentlich steht.
Das Dashboard ist nicht leer. Das ist nicht das Problem. Es enthält die erforderlichen Warnmeldungen, Erkennungen, Schwachstellen, Identitäten, „ cloud “-Aktivitäten, den Netzwerkverkehr, Compliance-Informationen, Risiken und zahlreiche Diagramme. Die Zahlen ändern sich. Die Filter funktionieren. Die Seite ist vielleicht sogar technisch korrekt.
Aber die Entscheidung liegt immer noch woanders.
Jemand muss das Muster interpretieren. Jemand muss wissen, ob der Wert gut oder schlecht ist. Jemand muss entscheiden, ob es sich um Rauschen, eine Abweichung, einen Steuerungsfehler oder etwas handelt, das es wert ist, jetzt untersucht zu werden.
Das ist das stille Versagen vieler Sicherheits-Dashboards. Sie versagen nicht, weil ihnen Daten fehlen; sie versagen, weil sie den Nutzer dazu zwingen, selbst die Schlussfolgerungen zu ziehen.
Die meisten Sicherheits-Dashboards sind rückwärts konzipiert. Sie gehen von den Daten aus: Was können wir abfragen? Was können wir visualisieren? Welches Diagramm sollten wir verwenden? Welche Kennzahlen sollten wir einbeziehen?
Ein besseres Dashboard beginnt mit der Entscheidung: Für wen ist es gedacht, was möchten die Nutzer damit verstehen und was soll ihnen nach dem Betrachten leichter fallen?
Sicherheitsteams verfügen bereits über mehr Daten, als irgendjemand lesen kann. Netzwerktools, Identitätsanbieter, Agenten zur Erkennung von Bedrohungen ( endpoint ), Plattformen zur Erkennung von Bedrohungen ( cloud ), Firewalls und SaaS-Anwendungen erzeugen allesamt Signale. Bei Vectra AI werten wir jede Sekunde mehr als 8 TB moderner Netzwerkaktivitäten aus. Rechnet man den Rest der modernen Sicherheitsinfrastruktur hinzu, wird das Problem offensichtlich: Die Daten zu beschaffen, ist nicht der schwierige Teil.
Das Schwierige daran ist, diese Daten so aufzubereiten, dass ein Mensch sie schnell genug versteht, um entsprechend zu handeln. Wenn ein Dashboard den Analysten nicht dabei hilft, die Frage zu beantworten, was als Nächstes zu tun ist, liefert es keine Erkenntnisse. Es überlässt die Analyse dem Leser.
Dashboards sind Benutzererlebnisse, keine Datenspeicher
Ein Dashboard ist eine Situation, in die man unter Druck gerät.
Ein Analyst muss möglicherweise entscheiden, ob es sich bei einer Warnmeldung um ein Fehlalarm handelt. Ein Manager muss möglicherweise überprüfen, ob eine Kontrollmaßnahme funktioniert. Eine Führungskraft versucht möglicherweise zu verstehen, ob sich das Risiko in die richtige Richtung entwickelt.
Diese Menschen mögen sich zwar für dieselbe Umgebung interessieren, benötigen aber nicht dieselbe Ansicht. Wenn Teams ein Dashboard für das Unternehmen statt für den Nutzer entwerfen, erhält jeder Beteiligte eine Kennzahl und jede Datenquelle ein Widget. Die Seite füllt sich. Sie wirkt umfassend, aber niemand kann erkennen, was am wichtigsten ist.
Eine gute Benutzererfahrung bei Dashboards beginnt mit einer präziseren Frage: Für wen ist das gedacht, und welche Entscheidung soll getroffen werden?
Nicht jedes Sicherheitsproblem sollte zu einer Warnmeldung führen
In der Sicherheitsbranche gibt es eine gängige Methode, Daten verwertbar zu machen: die Auslösung eines Alarms. Das funktioniert, wenn ein Ereignis wichtig und selten ist und von einem Team bearbeitet wird, das darauf reagieren kann. Es funktioniert weniger gut, wenn das Problem nicht aus einem einzelnen Ereignis besteht. Manchmal liegt das eigentliche Problem in der Struktur der Umgebung.
Zum Beispiel die Netzwerksegmentierung.
Ein Team möchte möglicherweise wissen, ob zwei voneinander getrennte Teile des Netzwerks miteinander kommunizieren. Eine Möglichkeit besteht darin, jedes Mal ein Ticket zu erstellen, wenn ein Host eine gesperrte Grenze überschreitet.
Wenn das einmal pro Woche vorkommt, könnte dieses Ticket helfen.
Wenn dies 1.000 Mal am Tag passiert, machen 1.000 Tickets die Organisation nicht 1.000 Mal sicherer. Sie bürden einem ohnehin schon ausgelasteten Team eine Flut sich wiederholender Aufgaben auf, ohne ihm dabei zu helfen zu verstehen, ob die Sicherheitsgrenze an einer Stelle versagt, überall versagt oder größtenteils funktioniert – mit wenigen, aber bedeutenden Ausnahmen.
Ein Dashboard kann die Situation anschaulicher darstellen. Es kann zeigen, dass eine Segmentierungsgrenze weitgehend versagt, eine andere nur wenige verdächtige Ausnahmen aufweist und mehrere andere offenbar stabil sind. Auf einen Blick erkennt das Team ein systemisches Kontrollproblem, eine geringe Anzahl von Ereignissen, die einer Untersuchung bedürfen, sowie Anzeichen dafür, dass einige Kontrollen wie vorgesehen funktionieren.
Die Vorgehensweise ändert sich. Anstatt zu fragen: „Welche Warnmeldung sollte ich als Nächstes prüfen?“, kann das Team nun fragen: „Welche Kontrollmaßnahme muss zuerst beachtet werden?“
Das ist der Unterschied zwischen der Beobachtung von Sicherheitsvorfällen und dem Verständnis der Sicherheitslage.
Die häufigsten Fallstricke bei Dashboards
Schlechte Dashboards fallen nicht immer sofort ins Auge. Manche der schlechtesten sehen sogar beeindruckend aus.
Da ist das typische Armaturenbrett aus dem Showroom: ein Globus, sich bewegende Linien, blinkende Zahlen und genug Animationen, um den Besuchern das Gefühl zu vermitteln, dass gerade etwas Wichtiges passiert. Es wirkt lebendig. Aber wenn niemand seine Entscheidung ändert, nachdem er es sich angesehen hat, ist es reine Dekoration.
Da ist der Irreführende: ein Dashboard, das einst korrekt war, sich aber unbemerkt verändert hat. Ein Feld ändert sich. Eine Datenquelle liefert keine Daten mehr. Eine Namenskonvention entwickelt sich weiter. Die Diagramme werden zwar weiterhin angezeigt, aber das Dashboard zeigt nicht mehr das, was die Nutzer darin zu sehen glauben. Visuelle Überzeugungskraft kann dazu führen, dass veraltete Daten vertrauenswürdiger wirken – statt weniger.
Es herrscht Überlastung: 200 Dashboards, Halbduplikate, veraltete Analyseansichten, aufgegebene Experimente und Namen wie „Kopie von Critical Insights“. Das Problem ist nicht mehr die Transparenz. Es geht um Auffindbarkeit, Verantwortlichkeit und Vertrauen.
Und dann gibt es noch den „Waisenfall“: ein Dashboard, das ein echtes Problem aufzeigt, bei dem jedoch niemand für die Überprüfung, die Interpretation oder die nächsten Schritte verantwortlich ist. Ein Dashboard verbessert die Sicherheit nicht allein durch seine bloße Existenz. Jemand muss sich für die Frage interessieren, die es beantwortet, und über die Möglichkeit verfügen, zu handeln, wenn sich die Antwort ändert.
Jeder Fehlschlag hat dieselbe Ursache: Das Dashboard wurde als Ort zur Darstellung von Informationen betrachtet und nicht als Produkterlebnis, das die Entscheidungsfindung unterstützt.
Der Kontext verwandelt Zahlen in Entscheidungen
Eine Zahl ohne Kontext lässt den Leser im Unklaren: Ist das viel oder wenig? Wird es besser oder schlechter? Im Vergleich zu was? Muss jetzt etwas unternommen werden?
Deshalb ist UX-Writing in Dashboards so wichtig. Beschriftungen, Abschnittsnamen, Hinweistexte, Beschreibungen und Leerstände sind keine reine Dekoration. Sie vermitteln dem Nutzer, wie er die Seite lesen soll.
Ein nützliches Dashboard zeigt nicht nur das Erkennungsvolumen an. Es erläutert auch, ob sich das Volumen verändert hat. Es zeigt, wo sich die Veränderung konzentriert. Es bietet dem Benutzer die Möglichkeit, von einer Übersicht zur Untersuchung überzugehen. Es nutzt Rich-Text-Inhalte, um zu erklären, wonach man suchen muss, warum dies wichtig ist und wie man weiter vorgehen sollte.
Bevor Sie ein Widget hinzufügen, fragen Sie sich: Welche Entscheidung wird dadurch erleichtert, dass dieses Widget hier ist?
Wenn die Antwort unklar ist, passt das Widget wahrscheinlich nicht hierher.
Orientieren Sie sich an Fragen, nicht an Suchanfragen
Die besten Dashboards beginnen nicht mit der Frage: „Was können wir visualisieren?“
Sie beginnen mit Fragen wie:
- Welche Systeme überschreiten Grenzen, deren Einhaltung durchgesetzt werden sollte?
- Wo treten unerwartete Aktivitäten in den Netzwerk-, „ cloud “- und Identitätsdaten auf?
- Welche KI-Dienste und -Anwendungen werden in dieser Umgebung genutzt?
- Führen die Kontrollmaßnahmen, in die wir investiert haben, zu dem von uns erwarteten Ergebnis?
Sobald die Frage klar ist, ergibt sich die Struktur von selbst.
Stellen Sie die wichtigste Antwort an den Anfang. Zeigen Sie als Nächstes die aktuelle Situation auf. Verwenden Sie Trends, um zu verdeutlichen, ob sich die Bedingungen verbessern oder verschlechtern. Zeigen Sie auf, worauf sich das Team konzentrieren sollte. Platzieren Sie die Untersuchungstabellen weiter unten, sodass sie als Grundlage für Maßnahmen dienen, anstatt den Nutzer zu zwingen, zunächst die Rohdaten zu interpretieren.
Auch hier kann KI den Arbeitsablauf verändern. Wenn ein Benutzer die Frage in einfacher Sprache beschreiben kann, kann die KI-gestützte Widget-Erstellung dabei helfen, diese Frage in die dem Widget zugrunde liegende Abfrage umzuwandeln. Der Benutzer behält weiterhin die Entscheidungshoheit und die Interpretationsfreiheit, muss aber nicht mehr mit einem leeren SQL-Editor beginnen.
Wählen Sie die Visualisierung als Letztes aus.
Liniendiagramme zeigen Veränderungen im Zeitverlauf. Balkendiagramme vergleichen Kategorien. Einzelwerte geben den Status wieder. Tabellen dienen der Analyse. Rich-Text-Inhalte liefern Kontext, Anleitungen aus dem Playbook, Links und Eskalationskriterien.
Es geht nicht um die Art des Diagramms. Es geht um die Entscheidung.
Das Ziel ist nicht ein weiteres Dashboard
Sicherheitsteams brauchen keine Dashboards, denn es gibt ohnehin schon zu viele Diagramme auf der Welt.
Sie benötigen Dashboards, weil manche Fragen zu weit gefasst für eine einzelne Warnmeldung und zu komplex für Rohdaten sind. Ein gutes Dashboard ist der goldene Mittelweg. Es hilft dem Nutzer, Muster zu erkennen, das Ausmaß eines Problems zu verstehen und Maßnahmen dort zu konzentrieren, wo sie die größte Wirkung erzielen.
Vectra AIDie benutzerdefinierten Dashboards unterstützen dies, indem sie Netzwerk-, Identitäts-, „ cloud “- und Bedrohungsdaten in Ansichten zusammenführen, die Teams an ihre jeweilige Umgebung anpassen können. Die KI-gestützte Widget-Erstellung hilft Teams dabei, Sicherheitsfragen in einfacher Sprache in Abfragen umzuwandeln, auf denen nützliche Widgets basieren, und diese Abfragen bei Bedarf weiter zu verfeinern. Dank Rich-Text-Kontext und Untersuchungspfaden wird die Ansicht zu einem Workflow und bleibt nicht nur ein Bericht.
Das beste Dashboard ist nicht das mit den meisten Widgets. Es ist das, das einem Team hilft zu erkennen, wo sich Risiken verändern, wo Kontrollmaßnahmen greifen und wo Untersuchungen die größte Wirkung erzielen.
Wenn Dashboards mit der Entscheidung beginnen, sind sie keine reine Dekoration mehr, sondern werden Teil des Sicherheits-Workflows.
Praktische Hinweise zu Struktur, Widget-Auswahl, Rich-Text-Kontext und Aufbau der Untersuchung finden Sie im Leitfaden zu bewährten Vorgehensweisen bei der Erstellung von Dashboards.