Erkennung beginntmit bekannter Abdeckung.
Monitoring macht sicherheitsrelevante Zustände und Ereignisse rechtzeitig untersuchbar. Der Prozess verbindet Erkennungsziel, Datenquelle, Zeitbasis, Normalisierung, Regel, Triage und Übergabe. Er bewertet nicht jeden Alarm als Vorfall und ersetzt weder Inventar noch Bedrohungsanalyse.
Ein Log ist noch
kein Signal.
Daten werden erst verwertbar, wenn ihr Zweck, ihre Herkunft, Zeitqualität und Abdeckung bekannt sind. Eine Regel trägt nur dann zur Erkennung bei, wenn jemand das Ergebnis im benötigten Zeitraum qualifizieren kann.
| Baustein | Zu klären | Nachweis | Blinder Fleck |
|---|---|---|---|
| Erkennungsziel | Welcher Zustand oder welches Verhalten soll mit welchem Zeitbedarf erkannt werden? | Use Case mit Risiko und Reaktionsweg. | Regel ohne Entscheidungskontext. |
| Grundgesamtheit | Welche Assets, Identitäten, Dienste und Datenflüsse gehören in die Abdeckung? | Abgleich mit Inventar und Kritikalität. | Unbekannte oder nicht angebundene Objekte. |
| Datenquelle | Welche Ereignisse, Felder, Zeitstempel und Aufbewahrung liefert sie verlässlich? | Onboarding und Qualitätsprofil. | Lizenz, Filter oder Ausfall vor der Sammlung. |
| Detektion | Welche Logik, Schwelle, Ausnahme und Version erzeugt ein Signal? | Versionierte Regel mit Testfällen. | Ungeprüfte Standardregel. |
| Triage | Wer prüft Kontext und Vertrauensgrad, und wann wird eskaliert? | Fall mit Entscheidung und Zeitlinie. | Alarm ohne erreichbaren Owner. |
Abdeckung, Signal
und Reaktion verbinden.
Die Kette endet mit einer qualifizierten Übergabe oder einem begründet geschlossenen Alarm. Der Incident Prozess beginnt erst, wenn die Einstufung einen Sicherheitsvorfall ergibt.
Definieren
Bedrohung, Risikobezug, erwartetes Signal und notwendige Reaktionszeit festlegen.
Priorisierter Use Case
Zuordnen
Kritische Assets, Identitäten, Dienste und verantwortliche Owner verbinden.
Bekannte Grundgesamtheit
Anbinden
Ereignisse, Felder, Zeitbasis, Filter und Aufbewahrung kontrolliert übernehmen.
Qualifizierte Datenquelle
Normalisieren
Identität, Asset, Zeit und Ereignistyp für Korrelation und Suche nutzbar machen.
Verwertbarer Kontext
Erkennen
Versionierte Logik auf Daten anwenden und ein untersuchbares Signal erzeugen.
Priorisierter Alarm
Qualifizieren
Plausibilität, Reichweite, betroffene Objekte und Vertrauensgrad prüfen.
Bewertetes Signal
Eskalieren
Signal mit Kontext und Zeitlinie an Incident, Betrieb oder anderen Owner übergeben.
Angenommener Fall
Verbessern
Abdeckung, Datenqualität und Regelwirkung aus Tests und Fällen nachführen.
Geprüfte Erkennung
Das SOC sieht
nicht automatisch alles.
Jede Plattform besitzt technische, vertragliche und organisatorische Grenzen. Abdeckung muss gegen den relevanten Bestand gemessen werden, nicht gegen die Zahl erfolgreich angebundener Quellen.
Quellenausfall
Daten fehlen vollständig, kommen verspätet oder werden bereits am Ursprung gefiltert.
Zeitdrift
Ereignisse lassen sich wegen falscher Zeitzone, Uhrabweichung oder verspäteter Lieferung nicht korrelieren.
Kontextverlust
Asset, Identität, Kritikalität oder verantwortlicher Service fehlen im Signal.
Regeldrift
Detektion passt nach Änderungen der Plattform, der Bedrohungslage oder des Geschäfts nicht mehr zur Realität.
Analysestau
Signale überschreiten ihren Entscheidungszeitraum, bevor eine qualifizierte Person sie prüft.
Unbekannte Lücke
Ein relevantes Objekt gehört zur Grundgesamtheit, ist aber keiner wirksamen Erkennung zugeordnet.
Signalqualität braucht
einen Nenner.
Alarmzahlen ohne Abdeckung, Kritikalität und Bearbeitungskapazität führen in die Irre. Gute Steuerung zeigt, wo Erkennung fehlt, zu spät kommt oder keine belastbare Entscheidung ermöglicht.
Kritische Objekte und Angriffspfade ohne zugeordnetes Erkennungsziel.
Quellen mit fehlenden Feldern, Zeitfehlern, Ausfällen oder unbekannter Filterung.
Zeit vom erzeugten Signal bis zur begründeten Einstufung.
Use Cases, die einen definierten Testfall nicht rechtzeitig oder nicht vollständig erkennen.
Signale ausserhalb des festgelegten Entscheidungszeitraums.
Geschlossene Fehlalarme ohne nachgeführte Regel oder dokumentierte Grenze.
Kontinuierlich heisst
nicht vollständig.
ISO und NIST verbinden Logging, technische Beobachtung und kontinuierliches Monitoring mit Risiko, Inventar und Kontrollwirkung. Kein Framework verspricht vollständige Erkennung.
Logging und Monitoring
Annex A.8.15 bis A.8.17 stützen Protokollierung, Überwachung und synchronisierte Zeit. A.7.4 ergänzt physische Überwachung.
Detect
DE.CM und DE.AE verbinden kontinuierliche Beobachtung, Ereignisanalyse und priorisierte Übergabe.
Continuous Monitoring
Verbindet Sichtbarkeit auf Assets, Bedrohungen, Schwachstellen und Kontrollwirkung mit zeitnaher Risikoreaktion.
Artikel 10
Erfasste Finanzunternehmen müssen Anomalien und ICT Vorfälle erkennen, Zuständigkeiten festlegen und Warnschwellen definieren.
Erkennung bleibt
einordenbar.
Monitoring macht relevante Abweichungen sichtbar, nicht bloss Lautstärke. Referenzen setzen Erwartungen an Logging und Beobachtung, Nachbarprozesse liefern Kontext und Werkzeuge unterstützen Sammlung, Analyse und Reaktion.
| Referenz | Beitrag zum Prozess | Grenze |
|---|---|---|
| ISO/IEC 27001:2022 | A.8.15 bis A.8.17 stützen Logging, Überwachung und Zeitabgleich. | Garantieren keine vollständige Erkennung. |
| NIST CSF 2.0 | DE.CM und DE.AE verbinden kontinuierliche Beobachtung mit Ereignisanalyse. | Ersetzt keine priorisierte Abdeckungsentscheidung. |
| NIST SP 800-137 | Beschreibt Information Security Continuous Monitoring als risikobasierten Ansatz. | Schreibt keine bestimmte SOC- oder Plattformarchitektur vor. |
| Inhalt | Beitrag | Weiter |
|---|---|---|
| 09 Bedrohungen | Priorisiert relevante Vorgehensweisen und liefert den Lagekontext. | Prozess öffnen → |
| 05 Inventar | Liefert Asset-, Service- und Ownership-Kontext für Signale. | Prozess öffnen → |
| 20 Incident | Übernimmt qualifizierte Ereignisse in die koordinierte Bearbeitung. | Prozess öffnen → |
Security Tool Navigator · Werkzeuge zum Prozess
Werkzeuge nach Gebiet einordnen.
Die Werkzeugklassen dieses Prozesses sind im Security Tool Navigator nach Sicherheitsgebieten geordnet. Die Gebietsseiten zeigen Abgrenzung, Auswahlfragen für CIO und CISO und alle Werkzeugklassen im Zusammenhang.