Woher wissen Sie, dass Ihre EDR- und SIEM-Regeln anschlagen, wenn sich ein Angreifer im Netz bewegt?
Detect & Respond zeigt, welche Angriffstechniken Ihr EDR und SIEM tatsächlich erkennen und welche nicht. Wir führen Techniken nach MITRE ATT&CK von Code Execution bis Lateral Movement eigenständig oder parallel zu einem Pentest aus und bewerten je Technik zweidimensional: Detection und Response. Lücken in Logquellen und Regeln ordnen wir nach NIST SP 800-61 ein. Auf Wunsch messen wir zusätzlich MTTD und MTTR: die Zeit von der Angreiferaktion bis zu Alarm und Gegenmaßnahme, einschließlich der Übergaben zwischen Team und Dienstleister.
Regeln und Sensoren erzeugen ein Gefühl von Abdeckung. Belastbar wird die Abdeckung erst, wenn definierte Techniken tatsächlich durchlaufen. Das zählt besonders nach einer EDR-Einführung, einem SIEM-Wechsel oder wenn Ihr SOC-Dienstleister Abdeckung zusagt.
Wir führen Techniken eigenständig oder parallel zu einem Pentest aus und stellen sie der Erkennungs- und Reaktionsdokumentation Ihres Teams gegenüber. Bewertet wird je Technik in zwei Dimensionen: Detection als erkannt, teilweise oder nicht, und Response als korrekt, teilweise oder nicht. Im Fokus steht, welche Techniken erkannt werden. Auf Wunsch messen wir aus derselben Durchführung auch, wie schnell das geschieht (MTTD & MTTR).
Wir wählen die für Ihre Umgebung relevanten Angriffsverfahren aus, von Code Execution über Credential Access bis Lateral Movement.
Wir bewerten, ob EDR und SIEM den Angriff erkannt, teilweise erkannt oder nicht erkannt haben.
Wir bewerten, ob Ihr Team oder Ihr SOC-Dienstleister korrekt, teilweise oder gar nicht reagiert hat.
Auf Wunsch messen wir mit Zeitstempeln, wie lange es bis zu Alarm und Gegenmaßnahme dauert, einschließlich der Übergaben an Ihren Dienstleister.
Wir zeigen, wo die nötigen Daten fehlen, damit ein Angriff überhaupt erkennbar wird.
Ein EDR-Test führt definierte Angriffstechniken nach MITRE ATT&CK aus und verfolgt je Technik den Weg über Sensor, Logquelle und Regel bis zu Alarm und Reaktion Ihres Teams. Gedacht ist er für Unternehmen mit EDR, SIEM oder SOC-Dienstleister. Auf Wunsch misst er zusätzlich die Erkennungs- und Reaktionszeit (MTTD & MTTR). Das gemeinsame Nachschärfen leistet die Purple-Team-Übung. Aus den Lücken entsteht ein Plan zum Detection Engineering, oft begleitet über ProSec Defense.
Wir legen Angriffsverfahren, Ausgangspunkt, Beobachtungswege und Eskalationsregeln fest und benennen Ansprechpartner bei Ihnen oder Ihrem SOC-Dienstleister.
Wir führen die Angriffe kontrolliert aus und dokumentieren jeden mit Zeitpunkt, Technik und betroffenem System, eigenständig oder parallel zu einem Pentest.
Ihre Alarme, Tickets und Maßnahmen stellen wir unseren Aktionen gegenüber und bewerten Detection und Response je Angriff.
Sie erhalten einen Überblick, welche Angriffe entlang der Kill-Chain erkannt wurden, eine messbare Übersicht der Qualität Ihrer Erkennung und Reaktion sowie einen Actionplan, der detailliert aufzeigt, welche Angriffe Sie aktuell noch nicht erkennen.
Zuerst das Ergebnis je Technik für Ihr Detection-Team, dann das Gesamtbild mit Kill Chain und Kennzahlen, dann der priorisierte Actionplan. Auf Wunsch erhalten Sie eine Bescheinigung über den durchgeführten Check ohne technische Details, etwa für Ihre Cyberversicherung. Eine Management Summary gehört nicht zu diesem Einzelcheck.
Jede ausgeführte Technik mit Zeitstempel, betroffenem System und zweidimensionaler Bewertung: Detection (erkannt, teilweise, nicht erkannt) und Response (korrekt, teilweise, nicht reagiert).
Eine visuelle Kill-Chain-Darstellung aller Angriffe und aggregierte Kennzahlen zu durchgeführten und erkannten Techniken. Auf Wunsch mit MTTD und MTTR.
Verbleibende Erkennungs- und Reaktionslücken als Nach Priorität sortierter Actionplan mit Verweis auf jede Technik und als Grundlage für Ihr Detection Engineering.
„Euer Konzept und eure professionelle Vorgehensweise runden unsere umgesetzten Security Maßnahmen – von Next Generation FW bis SIEM & SOC – erst ab.“
Dominique Doré, Leitung IT, VRM Service GmbH & Co. KG
Die Validierung zeigt, welche Techniken erkannt und beantwortet werden. Welche Techniken überhaupt geprüft werden sollten und wie Ihr Team Erkennungslücken schließt, klären die folgenden Leistungen.
Wenn Angriffe vor allem per E-Mail-Anhang starten, prüft Payload Delivery & Filtering die Schutzkette vom Gateway bis zum Endpoint.
Zur LeistungKombinierbar, sobald Ihr Team die gefundenen Lücken gemeinsam mit uns nachschärfen und direkt erneut prüfen will.
Zur LeistungWenn noch offen ist, welche Techniken für Ihre Umgebung relevant sind, legt das Assessment-Scoping die Auswahl vorab fest.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Nein, ein SIEM ist hilfreich, aber nicht zwingend. Auch EDR-Alarme, die ein Administrator liest, sind eine gültige Erkennungsquelle.
Ja. Wir führen die Techniken dann von einem vorbereiteten Ausgangspunkt in Ihrer Umgebung aus, etwa einem Standard-Arbeitsplatz. Läuft ohnehin ein Pentest, verbinden wir beide und nutzen dieselbe Durchführung.
So viele, wie Rahmen und Budget zulassen, priorisiert nach Ihrer Bedrohungslage. Welche Techniken für Ihre Umgebung relevant sind, legen wir im Scoping fest, für eine strukturierte Auswahl gibt es das Assessment-Scoping nach MITRE ATT&CK.
Das ist ein verwertbares Ergebnis. Der Bericht zeigt je Technik, welche Datenquelle oder Regel fehlt.
BAS-Werkzeuge spielen automatisiert vordefinierte Szenarien ab, Detect & Respond führt Techniken durch unser Team im Kontext eines Tests aus und bewertet zusätzlich die Reaktion Ihres Teams. Dadurch wird sichtbar, ob ein Alarm auch zu einer korrekten Handlung führt. Beides lässt sich kombinieren.
Das hängt vom Ziel ab und legen wir im Scoping fest. Für eine realistische Bewertung der Response weiß in der Regel nur ein kleiner Kreis Bescheid. Ein vereinbarter Notfallkontakt stellt sicher, dass echte Vorfälle vom Test unterschieden werden.
NIS2 verlangt in Artikel 21 die Bewältigung von Sicherheitsvorfällen und Verfahren, mit denen die Wirksamkeit der Risikomanagementmaßnahmen bewertet wird. Betreiber kritischer Anlagen müssen nach § 31 Absatz 2 BSIG Systeme zur Angriffserkennung einsetzen, die das BSI in einer Orientierungshilfe konkretisiert. Die Validierung zeigt, ob diese Systeme bei den geprüften Techniken anschlagen.
Wir führen die Techniken kontrolliert und ohne zerstörende Wirkung aus und stimmen Zielsysteme und Zeitfenster vorab ab. Techniken mit Risiko für produktive Systeme führen wir nur nach Freigabe oder in einer vergleichbaren Umgebung aus.
Indem definierte Angriffstechniken kontrolliert ausgeführt und mit Zeitstempel protokolliert werden. Die Gegenstücke liefern Ihre Alarme, Tickets und die Dokumentation Ihres Teams. So entstehen messbare Werte, statt Kennzahlen aus wenigen realen Vorfällen hochzurechnen.
Einen allgemeingültigen Zielwert gibt es nicht, er hängt von Umgebung und Angriffsart ab. Wir liefern Ihre Werte je Technik und stellen sie Ihren eigenen Zielen oder vereinbarten Reaktionszeiten gegenüber.
Ja, die gemessenen Zeiten lassen sich den vereinbarten Reaktionszeiten gegenüberstellen. Achten Sie darauf, ab wann das SLA die Zeit rechnet: ab Alarm, ab Ticket oder ab Eskalation. Wir richten die Messpunkte danach aus.
Von der Zahl der Techniken, der Zahl der Erkennungswerkzeuge und Logquellen und davon, ob die Reaktion Ihres Teams mitbewertet wird. Läuft ohnehin ein Pentest, lässt sich die Durchführung mit ihm verbinden. Nach dem Scoping erhalten Sie ein Angebot mit festem Umfang.
