01
Risiko-Workshop
Wir klären kritische Dienste, vorhandene Werkzeuge, Unternehmensanforderungen, Bedrohungsszenarien und benötigte Reaktionen. Wir wählen das Betriebsmodell, die Aufgaben der Teams und Abnahmekriterien.
Sicherheitsmonitoring
SOC, SIEM und SOAR für Unternehmen
Wir helfen zu klären, welche Ereignisse Aufmerksamkeit benötigen und wer darauf reagiert. Wir verbinden Informationen aus Konten, Geräten, Netzwerken und Diensten, richten Erkennungsregeln ein und stimmen die Alarmbearbeitung ab. Sie erhalten funktionierende Anbindungen, Reaktionsverfahren und Berichte zu Ergebnissen und offenen Risiken.
Kunden
Unternehmen und Institutionen, die stabile IT benötigen.
Vom Ereignis zur Entscheidung
Ein SOC umfasst das Team und die Abläufe zur Bearbeitung von Sicherheitsalarmen. SIEM sammelt Protokolle, also Aufzeichnungen von Ereignissen, und verknüpft sie zur Erkennung von Bedrohungen. SOAR automatisiert ausgewählte Reaktionsschritte, etwa die Erstellung eines Tickets oder das Sammeln von Vorfallsdaten. Wir beginnen mit kritischen Diensten und Risiken, nicht mit dem Sammeln aller Protokolle. Eine Plattform allein stellt kein Reaktionsteam bereit und erkennt nicht jeden Angriff; Datenqualität, Regeln und vereinbarte Befugnisse sind entscheidend.
Ergänzende Leistungen
Die Sicherheitsüberwachung nutzt weitere Schutzmaßnahmen und Unternehmensprozesse. Wir vereinbaren benötigte Anbindungen, Zugriffsrechte und Zuständige für den Betrieb.
EDR-Geräteschutz
Alarme von Computern und Servern sowie Daten für die Vorfallsanalyse. Eine Geräteisolierung erfordert passende Funktionen und vereinbarte Befugnisse.Microsoft 365
Signale aus Entra ID, Exchange, Defender, Teams und SharePoint: Anmeldungen, E-Mail, Gastaktivitäten und Aktionen von Administratoren. Verfügbare Quellen und Daten bestätigen wir für die vorhandenen Lizenzen.Backup und Wiederherstellung
Erkennung fehlgeschlagener Aufträge, fehlender Backups und versuchter Löschungen. Alarmauswertung ersetzt weder Backups noch Wiederherstellungstests.Prozesse automatisieren
Benachrichtigungen, Tickets, Aufgabenlisten und Berichte über vereinbarte Anbindungen, auch mit n8n. Prozessautomatisierung allein ist kein SOC-Dienst.ISO 27001 · TÜV NORD Polska
TÜV NORD Polska hat das Informationssicherheitsmanagementsystem von Virtline nach PN-EN ISO/IEC 27001:2023-08 zertifiziert. Das veröffentlichte Zertifikat nennt Geltungsbereich und Gültigkeit.
Zertifikat von Virtline ansehenProjektablauf
Jede Phase endet mit einer Vereinbarung zum Umfang oder einer dokumentierten Prüfung. Zuständigkeiten für die Einführung der Werkzeuge und den späteren Betrieb werden getrennt festgelegt.
02
Konzept und Quellen
Wir wählen Plattform, Aufbewahrung und Datenstandort und ermitteln volumenabhängige Kosten. Wir binden vereinbarte Quellen an und prüfen Zeitstempel, korrektes Auslesen der Protokolle, einheitliche Felder, Verzögerungen und das Verhalten bei fehlenden Daten.
03
Regeln und Anbindungen
Wir konfigurieren Erkennung, Schwellenwerte und Ansichten. Wir verbinden Alarme mit EDR, Tickets, Helpdesk, IT-Monitoring und Eskalationskanälen. Wir prüfen automatische Schritte und solche, die eine menschliche Freigabe erfordern. Im vereinbarten Umfang ergänzen wir Alarme durch Informationen über Cyberbedrohungen (CTI). Wir prüfen Quelle, Aktualität, Lizenz und Eignung der Indikatoren für die Szenarien des Unternehmens; ein Treffer allein belegt noch keinen Sicherheitsvorfall.
04
Abnahme und Betrieb
Wir erzeugen ein kontrolliertes Ereignis und prüfen dessen Verknüpfung mit weiteren Ereignissen, Alarm, Ticket oder Reaktion, Eskalation, Bericht und späteren Zugriff auf die Aufzeichnungen. Wir besprechen Fehlalarme, Ausnahmen, Berichte und regelmäßige Überprüfungen. Übernimmt das Team des Kunden den Betrieb, vereinbaren wir Schulung, Übungen anhand der Verfahren, Übergabe der Konfiguration und Zuständigkeiten für weiteren Support. Die Bereitschaft zum eigenständigen Betrieb prüfen wir anhand vereinbarter Szenarien, statt sie nach einer festen Zahl von Monaten vorauszusetzen.
Praktischer Umfang
Ihre Ergebnisse
Die Ergebnisse zeigen, was die Überwachung abdeckt, wie ein Ereignis bearbeitet wurde und wo weiterer Handlungsbedarf besteht.
Konten in AD oder Entra ID, EDR-Geräte, Netzwerke, Firewalls, VPN, DNS, Server, Anwendungen, E-Mail, Cloud und Backups; falls vorhanden, auch Systeme für privilegierte Zugriffe (PAM). Die Übersicht nennt kritische Dienste, Datenverantwortliche, Anbindungsstatus, Prioritäten, Verarbeitungs- und Speicherorte, Übertragung, Verschlüsselung, Aufbewahrung und Export.
Risikobeschreibung, Logik der Ereignisverknüpfung, Schwellenwerte, Prioritäten, erwartete Reaktionen und Zuordnung der Szenarien zu MITRE ATT&CK. Wir liefern konfigurierte Ansichten und Prüfergebnisse zu Protokollqualität, Übertragungsdauer, Fehlalarmen und dem Umgang mit dem Ausfall einer Datenquelle.
Alarmbewertung, Zuständigkeit, Eskalation an IT oder Geschäftsleitung, Datenerhebung, Kommunikation und Abschlusskriterien. Jedes Ticket hat Priorität, Frist und Aufgabenliste. Geräteisolierung, Kontosperre und weitere Maßnahmen richten sich nach vorab vereinbarten Befugnissen und Freigaberegeln.
Alarmtrends, Vorfälle, Erkennungs- und Reaktionszeiten nach vereinbarten Definitionen, Fehlalarme, Risiken und Entscheidungen. Der Plan benennt Zuständige für die Aktualisierung von Sensorsoftware, Protokollverarbeitung und Regeln, Kapazität, Lizenzen, Administratorzugriffe, Konfigurationssicherungen, Bereitschaft und weitere Verbesserungen.
Plattformen und Datenkontrolle
Wir vergleichen unter anderem LevelBlue USM Anywhere und Energy Logserver. USM Anywhere wird aus der Cloud bereitgestellt und nutzt Sensoren und Agenten für Daten aus lokalen Umgebungen, Cloud-Diensten und Geräten. Energy Logserver Log Management Plan dient dem zentralen Sammeln, Suchen, Darstellen und Aufbewahren von Protokollen; SIEM Plan ergänzt Sicherheitsanalysen, Ereignisverknüpfung, die Suche nach Bedrohungsspuren und Unterstützung bei der Vorfallbearbeitung. Network Probe dient der passiven Verkehrsanalyse und der Untersuchung von Netzwerkereignissen. Für die Sonde vereinbaren wir Beobachtungspunkte, Durchsatz, Aufbewahrung und Grenzen der Sichtbarkeit verschlüsselter Inhalte. Vor der Auswahl prüfen wir Version und Lizenz, Grenzen der Datenaufnahme, Sensoranbindung, Verarbeitungsort, Export und Betriebskosten. Die Nennung dieser Plattformen bedeutet keine Herstellerpartnerschaft oder -zertifizierung von Virtline.
Fragen zu SOC, SIEM und SOAR
Benötigen wir ein eigenes SOC-Team?
+
Nicht immer. Im Co-Managed-Modell unterstützt Virtline Ihr Team bei Konfiguration, Alarmbewertung, Eskalation, Feinabstimmung und Berichten. Managed SOC umfasst vereinbarte Überwachung, Alarmklassifizierung, Reaktionsempfehlungen und Überprüfungen. Das Hybridmodell verbindet EDR-Alarme oder Meldungen des MDR-Dienstes eines Herstellers mit Identitäts-, Netzwerk-, Cloud- und Backup-Protokollen und den Abläufen des Unternehmens. Der Vertrag legt Rollen, Zeiten, Reaktionsfristen und einen möglichen 24/7-Dienst fest; der Kauf von SIEM schafft keine personelle Rund-um-die-Uhr-Betreuung.
Welche Bedrohungen erfassen die Regeln?
+
Die Auswahl richtet sich nach Risiko und verfügbaren Daten. Beispiele sind ungewöhnliche Anmeldungen oder VPN-Zugriffe, wiederholte MFA-Bestätigungsanfragen, die Nutzer zur Freigabe drängen sollen, riskante OAuth-App-Berechtigungen, Kontoübernahmen und Rechteausweitung. Hinzu kommen E-Mail-Weiterleitungen, Regeländerungen, Massendownloads, Gast- und Administratoraktivitäten, Ransomware, Dateiverschlüsselung, die Ausbreitung eines Angreifers im Netzwerk und missbrauchte Administrationswerkzeuge. Bei Backups prüfen wir fehlgeschlagene Aufträge, neue Systeme ohne Sicherung, Löschversuche und volle Speicher.
Was kann SOAR automatisch ausführen?
+
SOAR kann ein Ticket erstellen, die zuständige Person benachrichtigen und verfügbare Informationen sammeln: einen Datei-Hash zur Identifizierung, Prozessdetails, Benutzer, IP-Adresse, Anmeldeverlauf und zugehörige Ereignisse. Ein Ablauf kann auch eine Kontosperre oder Geräteisolierung zur Freigabe vorbereiten. Wir klären, was selbstständig ausgeführt werden darf, wer kritische Maßnahmen genehmigt und wie das Ergebnis dokumentiert wird. Die Möglichkeiten hängen von Anbindungen, Werkzeugen und Befugnissen ab; nicht jede Reaktion sollte automatisch erfolgen.
Bestätigt die Einführung die Rechtskonformität?
+
Nein. Vorfallsaufzeichnungen, Reaktionstests und Berichte können Bewertungen nach NIS2, DORA, ISO 27001 oder Kundenanforderungen unterstützen, ersetzen aber weder die Klärung von Pflichten noch ein Audit. Das Unternehmen bleibt für Geschäftsentscheidungen und Risikoakzeptanz verantwortlich. Das eigene ISO-Zertifikat von Virtline zertifiziert weder das eingeführte SOC noch die Konformität des Kunden.
Überwachungsumfang klären
Beschreiben Sie kritische Dienste, vorhandene Schutzmaßnahmen, verfügbare Protokolle und die Ticketbearbeitung. Wer reagiert heute auf Alarme und zu welchen Zeiten benötigen Sie Unterstützung? Damit grenzen wir den Workshop ein. Senden Sie keine Passwörter oder vertraulichen Protokolle.
SOC-Workshop vereinbaren