Um Risiken in einem sich ständig verändernden Umfeld zu bewältigen, benötigen Sicherheitsteams klare Antworten darauf, wie sich ihre Umgebung tatsächlich verhält.
Die meisten Sicherheitsteams verfügen bereits über eine Fülle von Daten. Alles, was sie benötigen, um ihre Sicherheitsrisiken einzuschätzen, ist wahrscheinlich irgendwo darin enthalten.
Netzwerktools, Identitätsanbieter, Plattformen für „ cloud “, Firewalls und SaaS-Anwendungen generieren mehr Daten, als ein Mensch realistischerweise lesen könnte. Die Daten zu beschaffen ist der einfache Teil, aber wir befinden uns ja nicht in der Matrix, wo wir zusehen, wie die Zeilen endlos vorbeiziehen...
Wie lassen sich diese Daten also in Erkenntnisse umwandeln, die ein Mensch schnell nachvollziehen kann? Wie lassen sich diese Erkenntnisse in Entscheidungen umsetzen? Und vor allem: Wie führen diese Entscheidungen zu einer messbaren Verbesserung der Sicherheitslage eines Unternehmens?
Nicht jede Exposition sollte zu einer Warnmeldung führen
In der Sicherheitsbranche gibt es eine gängige Methode, um Daten nutzbar zu machen: die Erstellung einer Warnmeldung.
Das funktioniert, wenn ein Ereignis wichtig und ungewöhnlich ist und von jemandem verursacht wurde, der darauf reagieren kann. Es funktioniert weniger gut, wenn Tausende von Beobachtungen auf ein allgemeineres Problem in der Haltung hindeuten.
Denken Sie an die Netzwerksegmentierung. Wenn ein Host einmal pro Woche eine geschützte Grenze überschreitet, kann ein Ticket sinnvoll sein. Geschieht dies jedoch 10.000 Mal am Tag, machen 10.000 Tickets das Unternehmen nicht 10.000 Mal sicherer. Das sorgt lediglich für Unruhe.
Das Team muss wissen, ob die Grenze grundlegend falsch konfiguriert ist oder ob sich nur einige wenige Systeme unerwartet verhalten.
Eine Benachrichtigung informiert Sie darüber, dass etwas passiert ist. Ein Dashboard hilft Ihnen dabei, die Art und das Ausmaß des Problems zu verstehen.
Menschen sind nicht besonders gut darin, Millionen von Datenzeilen zu lesen, aber wir sind sehr gut darin, Muster zu erkennen. Mein Kollege Erik Evangelista beleuchtet die wissenschaftlichen Hintergründe dazu in „Die Wissenschaft hinter der Visualisierung moderner Angriffe“.
Ein nützliches Dashboard kann innerhalb von 10 Sekunden auf einer einzigen Seite einen weitreichenden Kontrollversagen, einige Ausnahmen mit hoher Priorität sowie Kontrollmechanismen, die offenbar funktionieren, aufzeigen. Das ist der Unterschied zwischen der Beobachtung einzelner Ereignisse und dem Verständnis der Sicherheitslage.
Beginnen Sie mit einer Frage statt mit einer Abfrage
Der Wert eines Observability-Dashboards liegt nicht einfach darin, dass es eine weitere Möglichkeit zur Darstellung von Daten bietet. Es liegt vielmehr in der Fähigkeit, Daten anhand von Fragen zu strukturieren, die für Ihre Umgebung von Bedeutung sind:
- Welche zugelassenen und nicht zugelassenen KI-Dienste werden genutzt?
- Welche KI-Agenten sind aktiv, und wer oder was kommuniziert mit ihnen?
- Entsprechen die tatsächlichen Kommunikationsmaßnahmen unserer Segmentierungsrichtlinie?
- Welche Systeme müssen im Hinblick auf die Post-Quanten-Sicherheit überprüft werden?
- Hat sich die Aktivität im Zusammenhang mit kritischen Systemen verändert?
Bisher bedeutete die Beantwortung einer neuen Frage, Daten zu sammeln, diese an ein SIEM zu senden, sie auszuwerten, Pipelines zu pflegen und eine Abfrage zu erstellen.
Die gute Nachricht ist, dass „ Vectra AI “ dies bereits tut.
Die „ Vectra AI “-Plattform bündelt Netzwerk-, cloud-, Identitäts- und Bedrohungsdaten und reichert diese mit Sicherheitskontext an. Sorgfältig zusammengestellte Dashboards helfen Teams dabei, die Nutzung und Steuerung von KI, Schatten-KI, KI-Agenten, postquantenkryptografische Verfahren, Netzwerksegmentierung und Netzwerkaktivitäten besser zu verstehen.
Wenn sich die Frage speziell auf die Organisation bezieht, können Teams mithilfe des „ Vectra AI “-Agents ein benutzerdefiniertes Dashboard erstellen – und dabei mit einer Frage statt mit einer leeren Abfrage beginnen.
Im Rahmen des übergeordneten Workflows zum Belichtungsmanagement:
- Die Belichtungsergebnisse zeigen, worauf zu achten ist.
- Die Bestandsaufnahme der Vermögenswerte zeigt, wo diese vorhanden sind.
- Observability-Dashboards zeigen, wie sich die Umgebung verhält und ob sich das Risiko verändert.
Sind Dashboards die Lösung für alle Probleme?
Sie denken jetzt wahrscheinlich, ich sei nun voll und ganz von Dashboards überzeugt. Man müsse einfach alle Sicherheitsdaten in ein paar Diagramme packen und darauf warten, dass sich die Sicherheitslage verbessert. Ganz und gar nicht!
Sie haben wahrscheinlich schon einmal den großen SOC-Bildschirm gesehen, auf dem ein Globus zu sehen ist, mit Linien, die zwischen den Ländern hin- und herführen, und so viel Bewegung, dass es den Anschein macht, als würde dort tatsächlich Sicherheitsarbeit geleistet.
Aber niemand wird aufschauen und sagen: „Moment mal, wer redet da mit Chile?“
Ein Dashboard braucht ein „Und was nun?“. Was wird jemand untersuchen, ändern oder messen, nachdem er es sich angesehen hat?
Außerdem muss es stets auf dem neuesten Stand bleiben. Netzwerke ändern sich, Datenquellen stellen die Berichterstattung ein und Annahmen sind bald überholt. Ein veraltetes Dashboard kann noch lange nach dem Zeitpunkt, an dem es die Realität nicht mehr widerspiegelt, weiterhin glaubwürdig wirken.
Und es braucht einen Verantwortlichen. Niemand hat etwas davon, wenn es 200 Dashboards gibt, die alle eine Abwandlung von „Kopie von Critical Insights – Final“ im Namen tragen.
Nützliche Dashboards zeichnen sich durch eine klare Fragestellung, eine klare Zielgruppe, einen Verantwortlichen und eine konkrete Maßnahme aus. Sie sollten gepflegt und außer Betrieb genommen werden, wenn sie ihren Zweck nicht mehr erfüllen. Meine Kollegin Ada Tirelli geht in einem begleitenden Artikel näher auf diese Vorgehensweisen ein.
Observability in eine Verringerung des Risikos umsetzen
Ein Dashboard verringert das Risiko nicht allein durch seine bloße Existenz.
Wenn dabei etwas Aufschlussreiches zutage tritt, können Teams die zugrunde liegende Aktivität untersuchen, eine Richtlinie korrigieren, eine architektonische Kontrollmaßnahme anpassen, eine präzisere Erkennung einrichten oder überprüfen, ob die Abhilfemaßnahmen erfolgreich waren.
Dadurch entsteht ein kontinuierlicher Regelkreis: Beobachten, was geschieht. Verstehen, was es bedeutet. Auf das Wesentliche reagieren. Überprüfen, ob das Risiko gesunken ist.
Das Ziel ist nicht noch ein Dashboard. Es gibt heutzutage schon so verdammt viele Diagramme.
Das Ziel ist ein praktikabler Mittelweg zwischen Rohdaten, die realistisch gesehen niemand interpretieren kann, und einer Menge an Warnmeldungen, die realistisch gesehen niemand bewältigen kann.
Ein gutes Dashboard hilft dabei, Muster zu erkennen, das Ausmaß eines Problems zu verstehen und Maßnahmen dort zu konzentrieren, wo sie die größte Wirkung erzielen.