Logs sind Beweismittel
Firewalls, Server, Anwendungen, Endpoints, DNS, VPN und Identitätssysteme erfassen jeweils nur einen Teil. Zentrale Sammlung erzeugt eine gemeinsame Zeitlinie.
Normalisierung und Korrelation
Normalisierung vereinheitlicht Zeitstempel, Adressen, Benutzer, Aktionen und Ergebnisse. Korrelation verbindet fehlgeschlagene Anmeldungen, DNS-Auffälligkeiten, blockierten Verkehr und Datenübertragungen.
Erkennung und Untersuchung
Dashboards sollten Verhalten zeigen: Top Talkers, ungewöhnliche Ziele, wiederholte Blocks, neue Anwendungen, Geo-Anomalien, VPN-Aktivität und Richtlinienänderungen.
Technische Grundlagen
Zeit synchronisieren, Transport verschlüsseln, Ausfälle puffern, Ingestion-Lücken überwachen, Zugriff beschränken und Aufbewahrung je Quelle definieren.
Von Sichtbarkeit zu Reaktion
Warnungen benötigen Verantwortliche, Prioritäten und Playbooks. Erkenntnisse müssen in Ticketing und Incident Response einfließen.
