BreachSimulation.
Breach and Attack Simulation prüft mit kontrollierten Angriffstechniken, ob präventive und detektive Kontrollen im eigenen Umfeld tatsächlich reagieren.
Marktbild: BAS ist ein spezialisierter Markt mit wiederverwendbaren TTP-Szenarien. Der Mehrwert entsteht erst, wenn Ergebnisse in Detection Engineering, Control Tuning und einen erneuten Test zurückfliessen.
Prüfen, was
tatsächlich wirkt.
Für SOCs und Security Engineering Teams, die EDR, SIEM, E-Mail-, Netzwerk- oder Cloud-Kontrollen fortlaufend gegen freigegebene Techniken prüfen.
BAS sucht nicht systematisch unbekannte Schwachstellen und ersetzt kein Red Team. Es validiert bekannte Techniken gegen einen festgelegten Umfang.
Hersteller und
Werkzeuge.
| Hersteller und Produkt | Einordnung | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|
| AttackIQ · AttackIQ Platform | BAS und Security Control Validation | MITRE-ATT&CK-orientierte Controls und Detection | Abdeckung der eigenen Logquellen und Reaktionskette |
| Cymulate · Exposure Validation | BAS-Plattform | Endpoint, E-Mail, Web, Netzwerk und Cloud | Szenarioauswahl und Nachbearbeitung der Findings |
| Picus Security · Picus Platform | BAS und Adversary Emulation | Prävention und Detection über mehrere Kontrollschichten | Passung zu eigener Telemetrie und Regeln |
| SafeBreach · Exposure Validation Platform | BAS und Attack-Path-Validation | Security Controls und Angriffspfade | Abgrenzung der benötigten Module |
| Pentera · Pentera Platform | Automatisierte Security Validation | Interne Angriffswege und Kontrollwirkung | Freigaben für aktive Simulationen |
| Scythe · Scythe Platform | Adversary-Emulation-Plattform | Kontrollierte Kampagnen und Detection-Tests | Engineering-Aufwand für eigene Szenarien |
Klein beginnen,
regelmässig wiederholen.
- Agenten zuerst auf wenigen repräsentativen Systemen je Zone platzieren (Client, Server, Cloud-Workload) und Simulationen mit SOC und Betrieb vorab freigeben, inklusive Abbruchkriterien.
- Ergebnisse je Szenario getrennt nach drei Stufen auswerten: geloggt, alarmiert, blockiert. Viele Lücken liegen zwischen vorhandenem Log und fehlendem Alarm.
- Nach jedem Regel- oder Agentenupdate einen festen Regressionssatz automatisch laufen lassen, damit stille Verschlechterungen auffallen.
- Simulationsagenten wie privilegierten Zugang behandeln: eigene Konten, festgelegtes Netzsegment, Protokollierung und Entfernung nach Testende.
- Anteil Szenarien, die geloggt, alarmiert und blockiert wurden, je Stufe getrennt ausgewiesen
- Zeit von festgestellter Lücke bis bestandener Wiederholung
- Anzahl Regressionen nach Änderungen an EDR-, SIEM- oder Firewall-Regeln
Security Engineering betreibt die Plattform und pflegt die Szenarien, das SOC bewertet Erkennung und Alarmqualität. Die Owner der geprüften Kontrollen (Endpoint, Netzwerk, E-Mail) verantworten die Korrektur.
NIS2 Art. 21 Abs. 2 lit. f verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmassnahmen; BAS-Ergebnisse unterstützen diesen Nachweis für technische Kontrollen. ISO/IEC 27001:2022 Kap. 9.1 fordert dafür festgelegte Methoden zur Überwachung und Messung.
DORA Art. 25 Abs. 1 nennt unter anderem szenariobasierte Tests als Teil des Testprogramms für die digitale operationale Resilienz; BAS ersetzt bedrohungsorientierte Penetrationstests (TLPT) nach Art. 26 nicht.
Eine hohe Blockierquote heisst nicht, dass Angriffe auffallen. Eine Umgebung kann am Endpoint zuverlässig blockieren und bei durchgelassenen Techniken trotzdem keinen verwertbaren Alarm erzeugen.
Vom Test
zum Nachweis.
- Szenarien an relevante Angreifertechniken und den eigenen Bedrohungskontext binden.
- Für jeden Test festlegen, welche Kontrolle, Erkennung und Reaktion erwartet wird.
- Lücken nicht nur reporten, sondern nach Tuning erneut validieren.
Security Validation · Detection Engineering · SIEM · EDR
Die Herstellerangaben beschreiben Produktfunktionen. Ob ein Produkt den eigenen Scope abdeckt, zeigt erst ein kontrollierter Test mit den relevanten Datenquellen, Kontrollen und Betriebsgrenzen.
Security Tool Navigator · Gebiet 10
Im Gebiet Security Testing und Validation einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Testing und Validation. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.