ContinuousKontinuierlich prüfen.
Continuous Security Validation macht aus einem einmaligen Test einen wiederholbaren Nachweis: Welche Kontrolle wurde wann gegen welches Szenario geprüft und was änderte sich nach einer Korrektur?
Marktbild: Die Plattformen überlappen mit BAS und Automated Pentesting. Die Auswahl entscheidet sich an Planung, Wiederholung, Reporting, Retest und der Verbindung zu Detection und Remediation.
Prüfen, was
tatsächlich wirkt.
Für Teams mit vielen Kontrolländerungen, wechselnder Telemetrie oder einem festen Nachweisbedarf gegenüber Revision und Risk Owner.
Kontinuierlich bedeutet nicht wahllos. Ohne freigegebenen Szenariokatalog, Owner und Auswertung wächst nur die Menge der Testergebnisse.
Hersteller und
Werkzeuge.
| Hersteller und Produkt | Einordnung | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|
| AttackIQ · Security Optimization Platform | Kontinuierliche Control Validation | Detection- und Kontrollprogramme | Szenariobibliothek und Regelbezug |
| Picus Security · Picus Platform | Kontinuierliche Security Validation | Control-, Detection- und Prevention-Tests | Integrationen in den Sicherheitsstack |
| Cymulate · Exposure Validation | Fortlaufende Angriffssimulation | Mehrere Kontrollschichten und Vektoren | Betriebsmodell für Findings und Tuning |
| SafeBreach · Validate | BAS mit Validierungsfokus | SOCs und Control-Programme | Messmodell für Wirksamkeit |
| Pentera · Pentera Platform | Automatisierte Validation | Interne und hybride Umgebungen | Abgrenzung zum autonomen Pentest |
| MITRE · Caldera | Open-Source-Adversary-Emulation | Engineering-Teams mit Lab- und Szenariobetrieb | Eigenentwicklung, Safety Controls und Pflege |
Bedrohung als Massstab,
Owner als Empfänger.
- Szenarien aus dem eigenen Bedrohungsprofil ableiten und den MITRE-ATT&CK-Techniken zuordnen, die für Branche und Infrastruktur relevant sind.
- Messpunkte repräsentativ verteilen: je Netzzone, Betriebssystem-Image und Standort mindestens ein Testsystem.
- Testkennzeichnung und Zeitfenster mit dem SOC abstimmen, damit Tests nicht unterdrückt und echte Angriffe nicht als Test abgetan werden.
- Abweichungen automatisch als Ticket an den Owner der betroffenen Kontrolle leiten, nicht an das Testteam; das Testteam bestätigt den Retest.
- Anteil Szenarien mit erwarteter Reaktion von Prävention oder Detection, je Kontrolle im Zeitverlauf
- Zeit von festgestellter Kontrolllücke bis zum bestandenen Retest
- Anteil priorisierter ATT&CK-Techniken aus dem Bedrohungsprofil mit mindestens einem aktiven Szenario
Das Validation- oder Purple-Team pflegt Szenarien und führt Tests aus; die Owner von EDR, SIEM, Firewall und E-Mail-Schutz verantworten die Korrekturen. Der CISO nutzt die Trends für die Wirksamkeitsberichte an Geschäftsleitung und Revision.
NIS2 Art. 21 Abs. 2 lit. f verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmassnahmen; ISO/IEC 27001:2022 Kapitel 9.1 verlangt festgelegte Überwachungs- und Messmethoden und dokumentierte Ergebnisse.
DORA Art. 25 nennt szenariobasierte Tests als Teil des Testprogramms. FINMA-RS 2023/1 erwartet risikobasierte, szenariobezogene Cyber-Übungen; kontinuierliche Validierung ergänzt diese technisch, ersetzt aber keine Übung mit Entscheidungen von Menschen.
Eine hohe Erkennungsquote im Test heisst nicht, dass ein Angriff gestoppt wird. Validiert wird oft nur, ob ein Alarm entsteht, nicht ob jemand ihn rechtzeitig bearbeitet.
Vom Test
zum Nachweis.
- Ein Szenario mit fester Erwartung für Prävention, Detection und Response definieren.
- Wiederholungsintervall an Kontrolländerungen und Risiko koppeln.
- Nur geschlossene Befunde als erfolgreich werten, wenn der Retest dokumentiert ist.
Breach & Attack Simulation · Control Validation · Detection Engineering
Die Herstellerangaben beschreiben Produktfunktionen. Ob ein Produkt den eigenen Scope abdeckt, zeigt erst ein kontrollierter Test mit den relevanten Datenquellen, Kontrollen und Betriebsgrenzen.
Security Tool Navigator · Gebiet 10
Im Gebiet Security Testing und Validation einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Testing und Validation. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.