Lösungslandschaft: SIEM, Detection & SOC-Betrieb
Ein SIEM ist nur die technische Plattform. Belastbare Detection entsteht aus priorisierten Datenquellen, Use Cases, Retention, Ownership, Triage und einem geübten Response-Prozess.
Nicht die maximale Logmenge ist das Ziel, sondern verwertbare Telemetrie mit klaren Use Cases, Datenqualität, Zuständigkeiten und Response-Gates. MDR/XDR, Firewall, Identity und UEM liefern Kontext, ersetzen aber den SOC-Prozess nicht.
Die Seite verbindet Projektanforderungen mit bereits gepflegten Produkt- und Herstellerdaten. Ob ein Produkt passt, muss über Anforderungen, Finder, Vergleich, Herstellerquellen und einen eigenen Pilot-/Beschaffungsprozess geprüft werden.
Wenige hochwertige Datenquellen und klar definierte Use Cases sind wichtiger als eine breite Logsammlung ohne Betriebsowner.
- Identity/AD-Logs
- Firewall/VPN
- kritische Server/Endpoints
- 5–10 priorisierte Detection Use Cases
- klarer externer oder interner Eskalationsweg
Mehrere Organisationseinheiten und Plattformen benötigen Logklassen, zentrale Detection-Standards, Delegation und einen belastbaren Bereitschaftsprozess.
- mehrere Log-Tiers
- Use-Case-Owner
- SOAR/Automation wo sinnvoll
- 24/7-Bereitschaft oder SOC-Service
- regelmäßiges Detection Engineering
Cloud- und lokale Quellen werden so verbunden, dass Retention, Export, Notbetrieb und Datenstandort den eigenen Vorgaben entsprechen.
- Cloud + Self-managed Quellen
- lokale/regionale Retention prüfen
- offene Exportpfade
- Notbetrieb ohne zentrale Cloud
- Recovery der Regeln und Konfiguration
SIEM-/Security-Analytics-Plattform
Sammlung, Korrelation, Detection, Investigation und Automatisierung werden im kanonischen SIEM/SOC-Katalog getrennt nach Betriebsmodellen eingeordnet.
- Datenquellen
- Normalisierung
- Detection-as-Code / Regeln
- Automation
- Retention
- Kosten- und Volumenmodell
Microsoft Sentinel
Cloud-native SIEM-Plattform für Datensammlung, Korrelation, Detection, Investigation und Response über Microsoft- und Drittanbieterquellen. Ein 24/7-SOC-Betrieb bleibt eine organisatorische bzw. Service-Frage.
Produktdaten öffnen →Enterprise Security
Enterprise-SIEM für Threat Detection, Investigation und Response mit integrierten Analytics-, SOAR- und UEBA-Funktionen je Plattformumfang.
Produktdaten öffnen →Elastic Security
Security-Analytics-Plattform auf dem Elastic Stack mit SIEM, Detection, Investigation, Endpoint-/XDR-Funktionen und Cloud- oder Self-managed-Betrieb.
Produktdaten öffnen →Wazuh
Open-Source-Security-Plattform für Endpoint-Telemetrie, XDR-/SIEM-Anwendungsfälle, Loganalyse, Schwachstellen- und Compliance-Sicht mit Self-hosted- oder Cloud-Betrieb.
Produktdaten öffnen →Identity, Endpoint & Perimeter-Telemetrie
Identity-, Endpoint-, UEM-, Firewall- und VPN-Ereignisse bilden zusammen den Kontext für belastbare Detection und Investigation.
- Admin- und Rollenänderungen
- Endpoint-Events
- Geräte-Compliance
- Firewall/VPN
- DNS/Proxy soweit relevant
- Zeitquelle und Logqualität
SOC, Triage & Response
24/7-Erreichbarkeit, Triage, Eskalation und technische Reaktion sind Betriebsfragen. MDR/XDR kann Bausteine übernehmen, aber Verantwortlichkeiten müssen trotzdem festgelegt sein.
- SOC-Owner
- Bereitschaft
- Triage-SLAs
- Containment-Rechte
- Forensik
- Kommunikations- und Eskalationsweg
Retention, Recovery & Nachweise
Retention, geschützte Logablage und Wiederanlauf des Security-Betriebs müssen zur Schutz- und Nachweisanforderung passen.
- Retention-Klassen
- Manipulationsschutz
- Export
- Recovery der Konfiguration
- Notbetrieb ohne SIEM
- regelmäßige Use-Case-Reviews
Vor einer Produktentscheidung
- Mindestens ein priorisierter Detection-Use-Case ist Ende-zu-Ende mit Datenquelle, Regel, Triage und Response getestet.
- Logquellen werden nach Nutzen und Datenqualität ausgewählt, nicht nur nach technisch möglicher Ingestion.
- Alert-Ownership, Eskalation und Response-Berechtigungen sind für Regel- und Notbetrieb geklärt.
- Retention, Volumen und Kosten sind unter realistischen Lastannahmen nachvollziehbar.