Eine Richtlinie, 27 nationale Gesetze, und was sie von Ihnen verlangen.
Fünf Stufen, von der soliden Basis bis zur gruppenweiten Verteidigung.
Jede geforderte Maßnahme und der Dienst, der sie liefert.
Erkennung und Reaktion aus unserem europäischen SOC.
Geräte, Cloud und Support, als ein Dienst betrieben.
NIS2, DORA und DSGVO in einer Analyse.
Plattformen der Hersteller, ausgerollt und danach betrieben.
Ein namentlich benannter CISO, zwei Tage im Monat.
Sofort Hilfe, und Ihre Meldung fristgerecht eingereicht.
Nach dem Gespräch haben Sie eine priorisierte Liste Ihrer Lücken und eine Preisindikation für deren Schließung. Kostenlos und unverbindlich.
Gespräch vereinbarenWer wir sind und wie wir aufgestellt sind.
Amsterdam, Sofia, Varna und Stara Zagora.
Die Plattformen, die wir implementieren und betreiben.
Wie die Arbeit in der Praxis aussieht.
Das Kundenteam in Amsterdam, das Engineering in Bulgarien, alles innerhalb der EU. Ein Vertrag, nach niederländischem Recht.
Wie wir liefernManaged Security und SOC
Unser SOC überwacht die angebundenen Endgeräte, Konten, E-Mail-Umgebungen, Netzwerke und Cloud-Dienste. Die Alarme aus diesen Quellen werden in einem SIEM zusammengeführt und von unseren Analysten bewertet. Ist eine Maßnahme nötig, handeln wir nach vorab vereinbarten und getesteten Verfahren. Die Überwachung läuft das ganze Jahr aus der Europäischen Union.
So funktioniert es
Sicherheitssensoren liefern Alarme aus Endgeräten, Identitätsplattformen, Netzwerken, E-Mail und Cloud-Umgebungen.
Das SIEM führt diese Ereignisse zu einer Zeitleiste je Nutzer und je Gerät zusammen, sodass eine fehlgeschlagene Anmeldung um Mitternacht und ein auffälliger Prozess auf einem Laptop eine Stunde später als ein Vorgang gelesen werden.
Die Technik bestimmt, welche Alarme Aufmerksamkeit verlangen. Ein Analyst bewertet anschließend, was tatsächlich geschieht, welche Systeme oder Konten betroffen sind und welche Auswirkungen möglich sind.
Unsere SOC-Analysten arbeiten aus Sofia, Varna und Stara Zagora. Diese Standorte liegen innerhalb der Europäischen Union und sind Amsterdam eine Stunde voraus.
Die SLA
Die Reaktionszeit wird im Vertrag festgelegt und anhand der Aufzeichnungen im SIEM gemessen. Sie erhalten einen Bericht, aus dem hervorgeht, ob die vereinbarte Reaktionszeit eingehalten wurde.
Sobald die Korrelationsregeln im SIEM den Alarm mit der höchsten Priorität einstufen. Das wartet nicht darauf, dass Sie etwas bemerken, und nicht darauf, dass Sie anrufen.
Sobald ein zugewiesener Analyst den Alarm übernommen, geprüft hat, dass er tatsächlich Aufmerksamkeit verlangt, und mit der Bewertung begonnen hat. Gemessen werden die Übernahme und der Beginn der Bewertung, nicht die Eindämmung: Wie lange die Eindämmung dauert, hängt von Ihrer IT-Landschaft ab und von dem Mandat, das Sie uns gegeben haben.
Für die Prioritätsstufen, die in Ihrer Leistungsbeschreibung festgelegt sind. Alarme niedrigerer Priorität werden über die normale Queue bearbeitet und in den Bericht aufgenommen, statt um drei Uhr nachts eskaliert zu werden.
Jeder Alarm trägt Zeitstempel für Auslösung, Übernahme, ergriffene Maßnahmen und Abschluss. Der SLA-Bericht wird direkt aus diesen Aufzeichnungen erstellt. Eine Überschreitung bleibt dadurch sichtbar.
Abdeckung
Jede SmartCyber-Stufe ergänzt die bestehende Einrichtung um Überwachung und Datenquellen. Bei einer höheren Stufe müssen bereits angebundene Quellen nicht erneut eingerichtet werden.
| Signalquelle | Worauf geachtet wird | Enthalten ab |
|---|---|---|
| Endgeräte, Laptops, Desktops und Server | Ransomware-Verhalten, Schadsoftware, Missbrauch von Zugangsdaten, unerwünschte Persistenz und auffällige Nutzung von Administrationswerkzeugen | Protect, als Zusatzoption bei Essential |
| Identität, Verzeichnis und Anmeldungen | Untypische Anmeldungen, unmögliche Reisewege, wiederholte MFA-Anfragen, neue Administratorrollen und wieder genutzte ruhende Konten | Protect |
| Phishing, Vortäuschen der Identität von Geschäftsleitung oder Lieferanten, schädliche Anhänge und Links und unerwünschte Weiterleitungsregeln | Protect | |
| Netzwerk, Firewall, VPN und ausgehender Verkehr | Command-and-Control-Verkehr, Scans aus dem eigenen Netz, Verkehr zu ungewöhnlichen Zielen und untypische VPN-Sitzungen | Protect |
| Cloud-Workloads und Cloud-Umgebungen | Änderungen an Konfigurationen und Berechtigungen, neue Schlüssel oder Dienstidentitäten und Ressourcen in unerwarteten Regionen | Advanced |
| Geschäftliche SaaS-Dienste | Änderungen an Rollen, Freigabe von Daten, ungewöhnliche Downloads und verdächtige Anwendungsverbindungen | Advanced |
Die SIEM-Korrelation über alle sechs Quellen, die Abdeckung rund um die Uhr und die Reaktionszeit von 15 Minuten beginnen bei SmartCyber Advanced. Bei Protect werden die Quellen einzeln überwacht und zu Geschäftszeiten bearbeitet. Welche Quellen verfügbar sind, hängt von Ihrer technischen Umgebung, Ihren Lizenzen und den Schnittstellen ab, die die jeweilige Plattform unterstützt.
Wenn etwas auslöst
Unser SOC überwacht die Umgebung 24 Stunden am Tag und handelt bei einem Vorfall sofort. Je Organisation vereinbaren wir vorab, welche Maßnahmen wir eigenständig ergreifen dürfen und wann wir zuerst Rücksprache halten. Diese Vereinbarungen halten wir schriftlich fest, damit auch außerhalb der Geschäftszeiten keine Zeit verloren geht.
Die angebundenen Sicherheitssysteme melden Verhalten, das von den eingestellten Regeln oder von der normalen Nutzung in Ihrer Organisation abweicht. Das macht einen Unterschied: Ein Skript, das um zwei Uhr nachts läuft, ist in der Logistik gewöhnlich und in einer Steuerkanzlei einen Anruf wert.
Ein Analyst prüft den betroffenen Nutzer, das Gerät, den Standort, frühere Ereignisse und die möglichen Auswirkungen. Die meisten Alarme enden hier, mit einem Eintrag im Protokoll und ohne Störung für Sie.
Fällt es in das vereinbarte Mandat, kann das SOC ein Gerät isolieren, ein Konto sperren, eine Sitzung beenden oder ein Ziel blockieren. Alles darüber hinaus ist ein Anruf bei Ihrem festen Ansprechpartner, und dieser Anruf erfolgt zu jeder Stunde.
Wir halten fest, was beobachtet wurde, wann der Alarm begann, wer ihn bearbeitet hat und welche Maßnahmen ergriffen wurden. Fallen Sie unter NIS2, ist dieselbe Dokumentation die Grundlage für die Frühwarnung innerhalb von 24 Stunden und die Meldung innerhalb von 72 Stunden. Wir erstellen sie; Sie prüfen und reichen ein, denn die Meldepflicht bleibt bei Ihnen.
Nach dem Vorfall prüfen wir die Wiederherstellung, untersuchen die Ursache und passen wo nötig Erkennungsregeln oder Sicherheitseinstellungen an. Abgeschlossene Vorfälle werden im Quartalsbericht besprochen und nicht abgeheftet.
Wer außerhalb der Geschäftszeiten die Eindämmung freigeben darf, ist die eine Frage, die Sie besser klären, bevor Sie die Antwort brauchen. Wir stellen sie bei der Einrichtung, und die Antwort steht im Vertrag.
Was es nicht leistet
Überwachung hilft, Vorfälle schneller zu erkennen und früher zu handeln. Ein SOC verhindert nicht jeden Vorfall. Ein Eindringen, das während der Ausspähung auffällt, kostet ein Wochenende Arbeit. Dasselbe Eindringen, erst nach der Verschlüsselung entdeckt, kostet ein Quartal.
Deshalb kombinieren wir Überwachung mit vorbeugenden Maßnahmen: Patch-Management, Multi-Faktor-Authentifizierung (MFA), eingeschränkte Zugriffsrechte, gehärtete Konfiguration, Mailfilterung und ein Backup, aus dem jemand tatsächlich schon wiederhergestellt hat. Diese liegen in den SmartCyber-Stufen unter dem SOC.
Das SOC kann nur Quellen überwachen, zu denen der Zugang eingerichtet ist, deshalb ist das Asset-Inventar, eine aktuelle Übersicht über das, was Sie betreiben, die erste Lieferung. Und das SOC kann nur innerhalb des vereinbarten Mandats eigenständig handeln. Fehlende Datenquellen und Einschränkungen dieses Mandats halten wir vorab fest.
Selbst betreiben oder einkaufen
Welche Form passt, hängt von Ihrer Größe ab, von der Expertise, die Sie bereits im Haus haben, und von den Anforderungen an Verfügbarkeit und Berichte.
Für manche Organisationen ist das weiterhin die richtige Antwort. Fast alle davon sind größer als die, mit denen wir arbeiten.
Die ehrliche Grenze: Am ersten Tag kennen wir Ihre IT-Landschaft schlechter als Ihre eigenen Leute. Diese Lücke zu schließen ist die Aufgabe des ersten Monats.
Nachweise
Für relevante Alarme halten wir die Zeitpunkte, die Bewertung und die ergriffenen Maßnahmen fest. Bei einem schweren Vorfall entsteht damit eine Dokumentation, die für die gesetzliche Meldung und den Abschlussbericht genutzt werden kann.
Jeder ausgelöste Alarm, seine Schwere, wer ihn übernommen hat, zu welcher Zeit, was getan wurde und wann er geschlossen wurde. Aufbewahrt für den in Ihrem Vertrag festgelegten Zeitraum.
Bewältigung von Sicherheitsvorfällen und die Bewertung der Wirksamkeit Ihrer Maßnahmen. Beides muss belegt und nicht behauptet werden, und ein Betriebsprotokoll leistet das, wo ein Richtliniendokument es nicht leistet.
Die Zahl der Alarme und woraus sie bestanden, die Reaktionszeiten gegen die SLA, wiederkehrende Ursachen und offene Verbesserungspunkte. Geschrieben, damit eine Geschäftsleitung ihn liest.
Die Fragen zur Verlängerung sind konkret geworden. Gibt es Abdeckung außerhalb der Geschäftszeiten, wie lautet die vereinbarte Reaktionszeit, wie werden Konten mit erweiterten Rechten überwacht. Der Bericht antwortet mit Daten statt mit Absichten.
Welche Erkennungen unterdrückt und welche ergänzt wurden, und warum. Wechselt der Dienst je zu einem anderen Anbieter, geht diese Historie mit.
Die Aufbewahrungsfrist, die Empfänger und der Berichtsrhythmus werden in der Leistungsbeschreibung festgelegt.
Der Start des Dienstes
Die Sensoren anzubinden dauert Tage. Zu lernen, was in Ihrer Organisation normal ist, dauert länger.
Wir legen den Umfang fest, prüfen die Zugänge und erfassen Systeme, Logquellen, Ansprechpartner und Eskalationswege. In dieser Übersicht stecken die Überraschungen: der Server ohne Verantwortlichen, die Umgebung, die aus einem Projekt übrig ist, das Administratorkonto, das sich drei Leute teilen.
Wir binden die vereinbarten Quellen an und bauen ein erstes Bild der normalen Nutzung auf. In dieser Zeit kann das SOC zunächst nur beobachten, um unerwünschte Blockaden zu vermeiden.
Wir legen die Handlungsszenarien fest, halten das Mandat schriftlich fest und testen die Erreichbarkeit und die technischen Maßnahmen mit einem kontrollierten Alarm außerhalb der Geschäftszeiten, damit der erste echte Alarm nicht auch die erste Übung ist.
Die reguläre Überwachung beginnt, und die Zahl der Alarme ist dann am höchsten, denn alles, was in Ihrer Organisation ungewöhnlich, aber normal ist, ist für uns genau einmal ungewöhnlich. Erkennungsregeln und Grenzwerte werden danach weiter an die Praxis angepasst.
Die Kosten für Anbindung und Einrichtung werden gesondert in das Angebot aufgenommen. IT-Landschaften über mehrere Länder oder Umgebungen dauern länger, und diese kalkulieren wir je Land statt als eine Zahl.
Häufige Fragen
In unseren Delivery Centern in Bulgarien: Sofia, Varna und Stara Zagora. Die Kundenverantwortung und die CISO-Dienstleistung liegen in Amsterdam.
Bulgarien ist Mitgliedstaat der Europäischen Union, es gilt also dieselbe DSGVO und die Arbeit läuft unter denselben Managementsystemen. Das Land ist den Niederlanden eine Stunde voraus, wodurch Ihr Arbeitstag und unserer derselbe Arbeitstag sind. Nearshore, innerhalb der EU und unter derselben DSGVO, und nicht offshore.
Think Smart Europe B.V. ist neu. Die technische Organisation dahinter nicht.
Unsere Muttergesellschaft in Bulgarien ist seit Dezember 2019 registriert, beschäftigt die Analysten und Ingenieure, die die Überwachung betreiben, und hält die Managementsysteme ISO 9001, ISO/IEC 20000-1, ISO 27001 und ISO 27701, unter denen dieser Dienst erbracht wird.
Ja. Das SOC kann als eigene Überwachungs- und Reaktionsschicht über der bestehenden Dienstleistung eingerichtet werden. Wir lesen die Telemetrie, der Dienstleister hält die IT-Landschaft am Laufen, und die Aufgabenteilung steht auf dem Papier, bevor wir beginnen. Klar sein muss allerdings, wer bei einem Vorfall welche Maßnahme ausführt.
Schwierig wird es bei der Eindämmung. Isolieren wir um zwei Uhr nachts ein Gerät, muss jemand es wieder in Betrieb nehmen können, und ist das ein Anbieter, zu dem wir keine Arbeitsbeziehung haben, dauert der Vorfall so lange wie dessen Supportprozess. Das ist ein Gespräch zu dritt, und wir werden darum bitten.
Eine Überschreitung bleibt im SLA-Bericht sichtbar. Jeder Alarm hoher Priorität trägt Zeitstempel für die Auslösung und die Übernahme, und der Bericht wird aus diesen Aufzeichnungen erzeugt.
Etwaige Service-Gutschriften und ihre Grenzen werden vorab im Vertrag festgelegt.
Für Endgeräte und Server ist meist ein Agent nötig. Verhaltenserkennung muss den Prozess sehen können; Netzwerktelemetrie allein zeigt nicht, dass Zugangsdaten aus dem Speicher entwendet werden. Identitätsplattformen, E-Mail, Cloud-Umgebungen und SaaS-Dienste binden wir über Schnittstellen an.
Unterstützt ein System weder Agent noch Schnittstelle, etwa Betriebstechnik, veraltete Geräte oder ein System unter dem Supportvertrag eines Herstellers, prüfen wir, welche umliegende Quelle genutzt werden kann, und halten die Einschränkung fest. Kein grünes Häkchen für etwas, das wir nicht sehen.
Das geht, und manchmal lässt das Budget nichts anderes zu. Überwachung wirkt allerdings besser, wenn vorbeugende Maßnahmen wie MFA, Patch-Management und getestete Backups in Ordnung sind.
Eine IT-Landschaft ohne diese Maßnahmen zu überwachen, ergibt einen detaillierten Bericht über einen Vorfall, den Sie hätten verhindern können. Fehlende Basismaßnahmen nehmen wir deshalb in die Bewertung auf, und der Befund bleibt jedes Quartal derselbe, bis sie stehen.
Bei einem laufenden Vorfall
Die Eindämmung geht vor, der Rest dieser Seite kann warten. Fallen Sie unter NIS2, läuft die Uhr seit dem Moment Ihrer Kenntnis, und keine Untersuchung hält sie an.
Wir erfassen die bestehenden Sicherheitsquellen, die gewünschten Reaktionszeiten und das Mandat für die Vorfallsreaktion. Danach erhalten Sie ein Angebot für die Anbindung, die Überwachung und die Berichte.
