Zusammenfassung
- Monitoring, das niemand liest, schützt niemanden. Der Wert entsteht erst, wenn jemand auf die Meldungen reagiert.
- Auf unserer Plattform kommen jeden Tag viele hunderttausend bis mehrere Millionen Meldungen an. Wichtig sind davon meist nur ein paar Dutzend.
- Regeln, Agenten und Speicher brauchen laufend Pflege. Das ist eine Daueraufgabe für Fachleute.
Viele Firmen installieren ein Monitoring-Programm und haken das Thema ab. Ein paar Wochen später kommen Hunderte E-Mails am Tag, niemand liest sie, und irgendwann wird der Filter so eingestellt, dass gar nichts mehr ankommt. Genau dann passiert der Angriff.
Das Problem ist die Menge
Ein einziger Server erzeugt jeden Tag 50.000 bis 100.000 Ereignisse: Anmeldungen, Updates, Fehler, Zugriffe. Auf unserer Plattform kommen jeden Tag viele hunderttausend bis mehrere Millionen Meldungen an. Wirklich wichtig sind davon meist nur ein paar Dutzend.
Die Kunst ist, diese paar Dutzend zu finden. Dafür braucht es gute Regeln und jemanden, der weiß, wie ein echter Angriff aussieht.
Monitoring braucht Pflege
Programme bekommen Updates, neue Server kommen dazu, alte gehen weg. Jede Änderung kann Regeln unbrauchbar machen oder Fehlalarme auslösen. Agenten müssen aktuell bleiben, Speicher läuft voll, Zertifikate laufen ab.
Wer das nicht laufend pflegt, hat nach einem Jahr ein Monitoring, das teuer ist und nichts mehr meldet, was zählt.
Jemand muss reagieren
Eine Meldung um 7 Uhr früh, dass sich jemand aus dem Ausland als Administrator anmeldet, hilft nur, wenn jemand sie liest und weiß, was zu tun ist. Konto sperren, Verbindung trennen, Spuren sichern.
Das ist kein Job nebenbei. Es braucht Erfahrung mit Angriffen und mit den Systemen, auf denen sie passieren.
Warum Linux-Server besonders sind
Unsere Kundenserver laufen auf RHEL-basierten Systemen wie Rocky Linux. Dort liefern SELinux, das Systemprotokoll und die Integritätsprüfung sehr gute Signale. Man muss sie aber lesen können. Eine blockierte Aktion kann ein harmloser Fehler sein oder der erste Schritt eines Angriffs.
Was Managed Monitoring anders macht
Wir betreiben die Plattform, pflegen die Regeln und filtern das Rauschen heraus. Ein Techniker sieht sich jede wichtige Meldung an. Routinefälle erledigt die Plattform selbst. Sie bekommen nur Bescheid, wenn es Sie betrifft, und jeden Monat einen kurzen Bericht.
Konkrete nächste Schritte
- Prüfen, ob in Ihrem Monitoring heute jemand die Meldungen liest.
- Prüfen, wann die Regeln zuletzt angepasst wurden.
- Festlegen, wer bei einer kritischen Meldung was tut.
- Testen, ob eine Anmeldung aus dem Ausland wirklich auffällt.
vetosec betreibt Monitoring als Dienst: Plattform, Regeln, Pflege und ein Techniker, der hinschaut. Zum monatlichen Fixpreis.