Aus Sicherheitsplänen wird wirksamer Schutz

Vier Arten von Arbeit, und sie sind keine Varianten voneinander. Eine Sicherheitsplattform vollständig einführen — sie in Ihrem eigenen Mandanten aufbauen, die Protokollquellen anbinden, Erkennungsregeln und Reaktions-Playbooks schreiben, testen und laufend übergeben. Konfigurationsbewertung und Härtung — Server, Clients und Netzwerkgeräte gegen einen veröffentlichten Standard messen und eine priorisierte Liste dessen erstellen, was zu ändern ist. Firewall- und Netzwerkarbeit — ein Regelwerk prüfen, das darunterliegende Zonenmodell neu entwerfen und den Änderungsprozess aufbauen, der verhindert, dass es wieder verfällt. Und rundherum das Betriebsmodell: wer es danach betreibt, mit welchen Verantwortlichkeiten, woran gemessen. Was Sie davon brauchen, hängt vollständig davon ab, was Sie bereits haben — deshalb steht am Anfang eine Aufnahme und kein Angebot.

Die Tiefe liegt bei IBM und Microsoft: QRadar und Sentinel, einschließlich der Teile, die gern übersprungen werden — eigene Konnektoren und Parser für Quellen ohne native Anbindung, Erkennungsinhalte für Ihre Umgebung statt ausgelieferter Voreinstellungen, Automatisierungs-Playbooks und das Beherrschen der Aufnahmekosten. Darüber hinaus arbeiten wir mit Palo Alto, Fortinet und Sophos, mit allgemeiner Firewall-Arbeit einschließlich Regelwerkskonsolidierung sowie mit der Härtung von Windows- und Linux-Servern nach CIS-Benchmarks. Sagen Sie uns, was Sie tatsächlich betreiben, und wir sagen Ihnen offen, ob wir es schon gemacht haben. Manchmal lautet die Antwort nein — und das im ersten Gespräch zu klären ist für beide Seiten günstiger als in der dritten Woche.

Beides — und die Grenze wird vor Beginn schriftlich gezogen, denn das sind zwei verschiedene Einkäufe. Innerhalb der einzuführenden Plattform bauen und konfigurieren wir, aus der Ferne, in Ihrem eigenen Abonnement. Was wir nicht tun: in Ihre übrigen Produktivsysteme eingreifen. Agenten auf Servern installieren, Protokollweiterleitungen einrichten, Protokollierung auf Drittsystemen aktivieren und die für die Sammlung nötigen Firewall-Regeln öffnen ist Aufgabe Ihres Teams — mit unserer Anleitung und Unterstützung daneben. Manche Schritte können wir gar nicht ausführen: jene, die Global-Administrator-Rechte oder Gleichwertiges verlangen. Die kündigen wir vorab an, damit eine berechtigte Person bei Ihnen sie vornimmt. Bei Härtungs- und Firewall-Arbeit ist die Trennung noch schärfer: Geliefert wird die Bewertung und der Vorschlag, ausgeführt wird von Ihren Fachleuten, und an der Umsetzung wirken wir nur mit, wenn Sie darum bitten.

Drei Formen. Eine einzelne Plattform in einem bereits vorhandenen Mandanten ist ein Festpreis für etwa drei Wochen: eine Woche Aufnahme und Planung, eine Woche Aufbau und Integration, eine Woche Test, Feinjustierung und Übergabe. Ein vollständiger Aufbau von SIEM und Sicherheitsbetrieb wird nach Aufwand kalkuliert, geschätzt nach Expertenstufe, und dauert Monate — wobei auch die Stunden Ihrer eigenen Leute geschätzt werden, denn das ist meist die Zahl, die überrascht. Wo Hardware im Spiel ist, dauert es länger, weil Lieferzeiten den Plan bestimmen. Durchgängig außerhalb des Preises: Cloud-Verbrauch und Aufnahmegebühren, Lizenzen Dritter und der Betrieb des Ergebnisses nach der Übergabe.

Bei einer Einführung ein laufendes, für den Produktivbetrieb freigegebenes System, seine Dokumentation und eine Übergabe an die Menschen, die es betreiben werden. Bei einer Härtung bewusst Dokumente: einen Bewertungsbericht, eine bepunktete Tabelle über jedes Gerät und jede Kontrollgruppe, die Standarddetails hinter jedem Befund, einen Vorschlag für eine Basiskonfiguration und eine kurze Checkliste, mit der Sie den Rest Ihrer Landschaft selbst bewerten können, ohne die vollständige Prüfung zu wiederholen. Daraus geänderte Konfiguration zu machen, ist eine eigene Entscheidung — und uns ist lieber, Sie treffen sie bewusst, statt sie still in ein Projekt eingepackt vorzufinden.

Ja — und die ehrliche Fassung dieser Arbeit behandelt das Regelwerk als Symptom, nicht als Krankheit. Regeln prüfen und konsolidieren ist der sichtbare Teil. Darunter liegt das Zonenmodell, das die Regeln ausdrücken sollen, und der Änderungsprozess, der entscheidet, was nächste Woche hinzukommt. Diese drei haben wir zusammen gemacht: der Wechsel von einem flachen Modell zu geschichteten Zonen mit einer dokumentierten, freigegebenen Verkehrsmatrix — so lässt sich eine Regel an einem Modell messen statt an dem, woran sich niemand mehr erinnert. Konsolidieren Sie ohne das, haben Sie in einigen Jahren ein aufgeräumteres Regelwerk, das niemand versteht: also genau den Ausgangspunkt.

Es heißt zu messen, wofür ein Gerät tatsächlich konfiguriert ist — gegen einen veröffentlichten Standard, Gerät für Gerät — und die Abweichungen zu bewerten. Drei Maßstäbe zusammen: der CIS-Benchmark für genau dieses Produkt und diese Version, die für Sie geltende Regulierung sowie Hersteller- und unsere eigenen Empfehlungen — mit Querverweisen, damit erkennbar ist, welcher Befund welche Anforderung bedient, statt ihn glauben zu müssen. Kontrollgruppen kommen rot, gelb oder grün zurück, mit einer Tabelle dazu, welches Gerät wo steht; Rot ist die erste Runde, Gelb ist ein Gespräch. Prozentwerte berichten wir, lassen sie die Einstufung aber nicht bestimmen, denn ein Prozentwert in einer Kontrollgruppe bedeutet nicht dasselbe wie in einer anderen. Und das Ziel eines ersten Durchgangs ist nicht, alles maximal zu härten, sondern die Konfigurationen zu vereinheitlichen: Einheitlichkeit ist es, die jede spätere Änderung schnell und sicher macht.

Das ist die richtige Frage, und Folgendes geschieht. Ein Befund, der auf vielen Geräten gleichzeitig auftaucht, wird als möglicher Fehlalarm oder als Massenfehlkonfiguration behandelt und geprüft, bevor jemand handelt. Änderungen mit echtem Ausfallrisiko werden eher zurückgestellt als empfohlen — ausgehenden Verkehr auf Host-Firewalls zu beschränken lohnt sich etwa nur dort, wo der Verkehr wirklich verstanden ist, und das sagen wir lieber, als es Ihnen auf einer Liste zum Entdecken zu überlassen. Plattformarbeit wird in einer Testumgebung gebaut und geprüft, bevor sie produktiv geht, gefolgt von einer Stabilisierungsphase, in der die Aufmerksamkeit für Feinjustierung und Störungen hoch bleibt. Bei Firewall-Änderungen testet der Antragsteller die Änderung, und eine Regel, über die noch Verkehr läuft, wird nicht gelöscht — auch nicht mit Freigabe —, solange dieser Verkehr nicht verlegt oder eingestellt ist. Was wir auf einer Webseite nicht versprechen: allgemeine Rücksetzbarkeit. Was eine Änderung umkehrbar macht, ist je Gerät und System verschieden und gehört in den Plan Ihres Projekts, nicht in einen Marketingsatz.

Die Übergabe ist ein echter Endpunkt, und die Fortsetzung ist ein eigener Einkauf — das sagen wir lieber, als es Sie annehmen zu lassen. Eine Einführung endet mit dem Produktivstart, der Dokumentation und einer Schulung für die Menschen, die das System betreiben werden; ihretwegen gibt es die Schulung. Größere Programme schieben davor noch eine Stabilisierungsphase von einigen Wochen ein, in der Regeln und Playbooks am echten Verkehr nachgezogen und Störungen bereinigt werden. Wenn Sie nicht den Aufbau, sondern den Betrieb wollen, ist das Managed Detection and Response — und das ist absichtlich ein eigener Vertrag, nicht aus Versehen.

Weil das Team eines Herstellers in seinem eigenen Produkt hervorragend und strukturell nicht daran interessiert ist, ob es zum Rest Ihrer Landschaft passt. Wir haben schon den Vergleich geschrieben, der gegen ein Produkt argumentierte, das wir selbst hätten verkaufen können — ein solches Dokument schreibt kein Hersteller. Und die Arbeit rund um das Werkzeug bekommt dasselbe Gewicht wie das Werkzeug: das Betriebsmodell, die Verantwortlichkeiten, der Änderungsprozess, die Zonenrichtlinie, die Anbindung an Ihr Ticketsystem. Eine Sicherheitsplattform, die am Ende eine Insel ist statt Teil Ihrer Architektur, wurde nicht wirklich eingeführt — was auch immer der Projektstatus sagt. Ein großer Teil unseres Teams hat zwei Jahrzehnte auf der Kundenseite dieser Arbeit verbracht; daher rührt die Neigung, etwas funktionierend zu übergeben statt eindrucksvoll.