SecurityAnalytics.
Security Analytics untersucht grosse Mengen technischer Telemetrie auf Zusammenhänge, Abweichungen und Angriffsmuster. Die Klasse erweitert klassische Regeln um Verhaltensmodelle, langfristige Suche und Analysen über mehrere Datenquellen. Sie schafft aber weder vollständige Daten noch belastbare Erkennungen von selbst.
Marktdichte: hoch. Zwölf Plattformen decken den Bereich als SIEM, offene Datenplattform oder spezialisierte Analyseschicht ab.
Analyse ist mehr als Korrelation.
SIEM bezeichnet meist Sammlung, Normalisierung, Suche, Detection und Fallübergabe als Gesamtsystem. Security Analytics ist die darin oder darüber liegende Analysefähigkeit. UEBA konzentriert sich enger auf Verhaltensprofile von Benutzern und Entitäten.
Die Qualität hängt an Zeitstempeln, Identitäten, Entitätsauflösung, Datenhistorie und prüfbaren Hypothesen. Ein komplexes Modell auf lückenhafter Telemetrie erzeugt präzise wirkende, aber schwache Aussagen.
Datentiefe und Betriebsmodell vergleichen.
| Plattform | Schwerpunkt | Stärke | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|---|
| Splunk Enterprise Security | Enterprise Analytics und SIEM | Flexible Suche, Datenmodelle und Security Content | Grosse heterogene SOC-Umgebungen | Datenvolumen, Lizenzierung und Engineering-Aufwand |
| Microsoft Sentinel | Cloud-native Analytics | KQL, Microsoft-Integration und UEBA | Microsoft- und Azure-geprägte Umgebungen | Nicht-Microsoft-Quellen, Kosten und Datenresidenz |
| Google Security Operations | Cloud Security Analytics | Skalierbare Suche, YARA-L und Threat Intelligence | Sehr grosse Telemetriemengen | Parser, Datenmodell und Migrationsaufwand |
| Elastic Security | Offene Such- und Analyseplattform | Flexible Datenhaltung und Detection Engine | Teams mit Elastic- und Engineering-Kompetenz | Content-Pflege, Skalierung und Eigenbetrieb |
| IBM QRadar SIEM | Hybride Enterprise Analytics | Etablierte Korrelation und Untersuchungsabläufe | Gewachsene SOC-Landschaften | Architektur, Modernisierung und Lizenzmodell |
| Securonix Unified Defense SIEM | Analytics mit UEBA | Verhaltensanalyse und Threat-Modellierung | Identitäts- und Insider-Risk-lastige Use Cases | Tuning, Datenqualität und Plattformumfang |
| Exabeam | Verhaltenszentrierte SecOps | Entity Timelines und risikobasierte Untersuchung | SOCs mit Fokus auf Benutzerverhalten | Datenanbindung und Abgrenzung zum bestehenden SIEM |
| Logpoint | Europäisches SIEM und Analytics | Normalisierung und Compliance Content | DACH- und EU-orientierte Organisationen | Integrationsbreite und analytische Tiefe |
| Devo Security Data Platform | Cloud-native Datenanalyse | Analyse grosser Security-Datenmengen | Data-intensive Security Operations | Content, Kosten und bestehende Datenarchitektur |
| Panther | Detection as Code | Cloud-native Analyse und versionierbare Erkennungen | Engineering-orientierte Cloud-Teams | Programmierkompetenz und Datenpipeline |
| Hunters SOC Platform | Investigation und Security Data | Automatische Zusammenführung von Angriffsspuren | Teams mit vielen verteilten Datenquellen | Transparenz der Korrelation und Datenkosten |
| Gurucul | Risk Analytics und UEBA | Entitäts- und risikobasierte Modelle | Insider Threat und hybride Umgebungen | Modellpflege, Erklärbarkeit und Betriebsaufwand |
Hypothesen statt Dashboards testen.
- Einen bekannten Angriff über Identität, Endpoint, Netzwerk und Cloud rekonstruieren.
- Fehlende oder verspätete Daten sichtbar machen.
- Ergebnis und Risikoscore bis zu den Rohereignissen erklären.
- Rechen-, Speicher- und Tuningaufwand über mehrere Wochen messen.
Security Tool Navigator · Gebiet 09
Im Gebiet Security Operations einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Operations. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.