CaseManagement.
Security Case Management hält Untersuchung, Evidenz, Entscheidungen, Aufgaben und Kommunikation in einem verantworteten Fall zusammen. Es beginnt nach der technischen Signalbildung und endet erst, wenn Ergebnis, Restaufgaben und Abschluss nachvollziehbar sind.
Marktdichte: hoch, aber selten als eigenständiger Markt. Zehn Plattformen bieten Case Management innerhalb von SOAR, SIEM, ITSM oder einer spezialisierten Investigation-Lösung.
Der Fall ist nicht das Alert-Ticket.
Ein Fall kann mehrere Alerts, Personen, Assets, Observables und Entscheidungen umfassen. SOAR automatisiert Schritte. ITSM koordiniert betriebliche Arbeit. Case Management bewahrt den untersuchbaren Zusammenhang und die Beweiskette.
Zeitleiste, Evidenz, Rollen, Zugriffsschutz, Übergaben und unveränderbare Historie müssen gemeinsam funktionieren. Besonders sensible Untersuchungen benötigen eine strengere Sichtbarkeit als normale Betriebsvorfälle.
Investigation und Workflow verbinden.
| Plattform | Einbettung | Stärke | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|---|
| ServiceNow Security Incident Response | SecOps und ITSM | CMDB-, Workflow- und Organisationsbezug | ServiceNow-geprägte Enterprises | Lizenzmodule, sensible Fälle und Security-Tiefe |
| TheHive | Spezialisierte Investigation | Observables, Cases und MISP/Cortex-Nähe | CSIRTs und eigenständige SOCs | Edition, Hosting, Integrationen und Support |
| Cortex XSOAR | SOAR | Cases, Playbooks und umfangreiche Integrationen | Enterprise SOC | Datenmodell, Plattformumfang und Betrieb |
| IBM QRadar SOAR | SOAR und Incident Management | Geführte Response-Pläne und Fallhistorie | Regulierte und QRadar-nahe SOCs | Produktstrategie und Integrationsaufwand |
| Tines Cases | Automation und Cases | Flexible Zusammenarbeit nahe an Workflows | API- und Automationsorientierte Teams | Beweiskette, Berechtigungen und Reporting |
| Swimlane Turbine | Security Automation | Anpassbare Datenmodelle und Workflows | Komplexe SOC-Prozesse | Modellierungsaufwand und Governance |
| D3 Smart SOAR | SOAR und Case Management | Event Pipeline, Cases und Response | Enterprise SOC und MSSP | Integrationen und Prozessanpassung |
| Google Security Operations | SIEM und SOAR | Threat-zentrierte Fälle auf breiter Telemetrie | Google SecOps Kunden | Falldatenmodell und Drittintegrationen |
| Microsoft Sentinel Incidents | SIEM und Defender | Investigation Graph und Microsoft-Kontext | Microsoft Security Operations | Langzeitnachweis und externe Zusammenarbeit |
| Jira Service Management | ITSM und Incident Workflow | Aufgaben, Zusammenarbeit und Entwicklungsnähe | Atlassian-geprägte Organisationen | Security-Evidenz, Observables und Zugriffstrennung |
Einen komplexen Fall übergeben.
- Mehrere Alerts und Assets zu einem Fall zusammenführen.
- Sensible Evidenz rollenbasiert schützen und exportieren.
- Übergabe zwischen SOC, IT, Legal und Management protokollieren.
- Fall schliessen, ohne offene Massnahmen oder Aufbewahrung zu verlieren.
SOAR automatisiert Schritte. Incident Response steuert die technische Reaktion. Incident Management und On-Call organisiert Alarmierung und Bereitschaft.
Security Tool Navigator · Gebiet 09
Im Gebiet Security Operations einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Operations. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.