IT-Sicherheit
Angriffserkennung für Ihr Netzwerk in Berlin
Wer einmal im Netz ist, hinterlässt Spuren. Wir sorgen dafür, dass diese Spuren gesammelt, ausgewertet und gesehen werden. Mit Open-Source-Werkzeugen, die sich Schritt für Schritt ausbauen lassen. Für Unternehmen in Berlin und im Umland bauen wir das passend zu Ihrem Netzwerk auf.
Was Firewall und Virenschutz nicht sehen
Firewall und Virenschutz halten vieles draußen. Gelangt trotzdem jemand ins Netz, etwa mit einem abgegriffenen Kennwort, sieht für beide alles normal aus. Der Eindringling meldet sich mit einem echten Konto an, schaut sich in Ruhe um und sucht nach lohnenden Daten.
Genau in dieser Phase hilft Angriffserkennung. Sie achtet darauf, was im Netz passiert: Anmeldungen zu ungewöhnlichen Uhrzeiten, Zugriffe auf Ordner, die sonst niemand öffnet, ein Rechner, der plötzlich alle anderen Geräte abfragt. Fachleute sprechen von SIEM, also dem zentralen Sammeln und Auswerten von Sicherheitsmeldungen.
Drei Werkzeuge, die zusammenspielen
Unser Ansatz stützt sich auf bewährte Open-Source-Werkzeuge. Das hält die laufenden Kosten im Rahmen und Sie bleiben unabhängig von einem einzelnen Hersteller.
Zentraler Logserver
Server, Firewall und weitere Systeme schicken ihre Protokolle an einen zentralen Ort. Dort lassen sie sich auswerten, vergleichen und auch nach Wochen noch nachvollziehen. Wer lokale Spuren verwischt, erreicht diese Kopie nicht ohne Weiteres.
Angriffserkennung im Netz (IDS)
Ein IDS beobachtet den Datenverkehr und schlägt an, wenn Muster bekannter Angriffe auftauchen. Zum Beispiel, wenn ein Gerät systematisch andere Rechner nach offenen Diensten absucht.
Honeypots
Ein Honeypot sieht aus wie ein lohnendes Ziel, etwa ein Dateiserver. Im normalen Betrieb greift niemand darauf zu. Meldet sich dort jemand an, ist das ein deutliches Zeichen, dass etwas nicht stimmt.
Schritt für Schritt zum passenden Sicherheitsniveau
Nicht jedes Büro braucht vom ersten Tag an alles. Den Ausbau richten wir danach, welches Sicherheitsniveau Sie anstreben.
Ziel festlegen
Welche Systeme sind besonders schützenswert? Gibt es Vorgaben von Auftraggebern, Versicherung oder aus NIS-2? Daraus ergibt sich, wo es losgeht.
Protokolle zentral sammeln
Im ersten Schritt laufen die Protokolle der wichtigsten Systeme auf einem Logserver zusammen. Damit lässt sich ein Vorfall später nachvollziehen.
Datenverkehr beobachten
Ein IDS an zentraler Stelle wertet den Datenverkehr aus. Auf einer OPNsense lässt es sich zum Beispiel direkt auf der Firewall einrichten.
Stolperfallen auslegen
Honeypots ergänzen das Bild. Im Alltag machen sie kaum Aufwand und liefern dafür sehr klare Hinweise.
Wer die Meldungen liest
Ein Logserver, auf den niemand schaut, hilft nur beim Aufräumen hinterher. Deshalb stellen unsere eigenen Systeme sicherheitsrelevante Meldungen sofort dem Admin-Team zu. Innerhalb der Servicezeiten sieht sich ein Mensch jede dieser Meldungen an und entscheidet, was zu tun ist.
Besteht unmittelbare Gefahr, dürfen wir eindämmen: ein Konto sperren oder ein System vom Netz nehmen. Sie hören sofort von uns.
Zusammen mit Microsoft 365
Arbeitet Ihr Büro mit Microsoft 365, bringt Microsoft eigene Sicherheitsfunktionen mit, etwa Defender und die Erkennung verdächtiger Anmeldungen. Diese richten wir ebenfalls ein und werten sie aus. Die Angriffserkennung im lokalen Netz ergänzt das um den Teil, der außerhalb der Cloud liegt: den Server im Büro, die Firewall, die Geräte im Netzwerk.
Fragen zur Angriffserkennung
Ist das für ein kleines Büro nicht zu viel?
Das hängt davon ab, wie wertvoll Ihre Daten sind und was Auftraggeber oder Versicherung verlangen. Ein zentraler Logserver lohnt sich schon in kleinen Umgebungen. IDS und Honeypots kommen dazu, wenn das Sicherheitsniveau steigen soll.
Wo liegen die Protokolle?
Der Logserver läuft in Ihrem Netz, zum Beispiel als virtuelle Maschine auf Ihrem vorhandenen Server. Die Protokolle bleiben damit bei Ihnen. Wer darauf zugreifen darf, ist geregelt und dokumentiert.
Was kommt an Kosten auf uns zu?
Die eingesetzten Werkzeuge sind Open Source, Lizenzkosten entfallen. Einrichtung und Auswertung rechnen wir nach tatsächlichem Aufwand ab. Einen Rahmen nennen wir Ihnen, sobald klar ist, wie weit der Ausbau gehen soll.
Wie hängt das mit dem Schwachstellen-Scan zusammen?
Der Schwachstellen-Scan schaut von außen auf Ihre Internetanbindung. Die Angriffserkennung beobachtet, was drinnen passiert. Beides zusammen zeigt ein deutlich vollständigeres Bild.
Wie viel Angriffserkennung braucht Ihr Büro?
Im Gespräch klären wir, welche Systeme besonders schützenswert sind und mit welchem Schritt sich der Anfang lohnt.