{"id":31623,"date":"2025-09-29T08:10:28","date_gmt":"2025-09-29T08:10:28","guid":{"rendered":"https:\/\/cybercompare.com\/?p=31623"},"modified":"2025-09-30T10:17:42","modified_gmt":"2025-09-30T10:17:42","slug":"marktkommentar-28-ma-herbstbonanza-siem-kosten-im-griff-und-keine-panische-angst-vor-angriffen-auf-automatisierungstechnik","status":"publish","type":"post","link":"https:\/\/cybercompare.com\/de\/marktkommentar-28-ma-herbstbonanza-siem-kosten-im-griff-und-keine-panische-angst-vor-angriffen-auf-automatisierungstechnik\/","title":{"rendered":"Marktkommentar #28: M&A Herbstbonanza, SIEM Kosten im Griff, und keine panische Angst vor Angriffen auf Automatisierungstechnik"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Hallo zusammen,<\/p>\n

uneingeschr\u00e4nkten Beifall auf jeder Security-Konferenz und sonstigen Echokammern erh\u00e4lt man safe, indem man mehr Budget f\u00fcr Security fordert. Oder, indem man sich lautstark \u00fcber die Kosten von Splunk<\/strong> beschwert. Das ist wohl auch mal jemand von Cisco\/Splunk zu Ohren gekommen. Daher kommt jetzt das Angebot, Logs von Cisco Firewalls kostenlos zu verarbeiten. Auf der diesj\u00e4hrigen User Conference wurden dazu neue Ans\u00e4tze wie der Triage Agent und \u201eFederated Search\u201c in Snowflake<\/strong> vorgestellt \u2013 nach meinem Verst\u00e4ndnis direkte Alternativen zu den Data Pipeline L\u00f6sungen wie Cribl, Tenzir, Databahn, Anvilogic<\/strong> oder wie sie Crowdstrike <\/strong>und SentinelOne<\/strong> gerade eingekauft haben (s. unten). Damit sollen Ingest- und Speicherkosten reduziert und gleichzeitig die Erkennungsgeschwindigkeit erh\u00f6ht werden. Die Grenze zwischen XDR und SIEM l\u00f6st sich damit noch weiter auf \u2013 am Ende geht es um die m\u00f6glichst schnelle und pr\u00e4zise Analyse von gro\u00dfen Datenmengen.<\/p>\n

Bisher habe ich allerdings den Eindruck, dass trotz gro\u00dfem Wehklagen \u00fcber Budgetexplosionen einmal etablierte Splunk oder QRadar Installationen bei Kunden erst dann abgel\u00f6st werden, wenn die Entscheidung von on prem zu IaaS\/SaaS SIEM gefallen ist. Der Aufwand (und bei z.B. DORA regulierten Banken auch das Risiko) einer Migration schreckt dann doch sehr ab.<\/p>\n

Logvolumen reduzieren, aber ohne das Risiko zu erh\u00f6hen? Ein praktisches Beispiel hier<\/a> von monad<\/strong>, bei dem die SIEM Kosten um ~50 TEUR\/Jahr gesenkt wurden, indem Okta Logout-Events direkt in S3 anstatt dem SIEM gespeichert wurden, also Filter vor Ingest<\/strong>. Damit stehen die Daten immer noch f\u00fcr tiefgehende Analysen im Bedarfsfall noch zur Verf\u00fcgung. Andere erw\u00e4hnte Events, die man sich wahrscheinlich f\u00fcr Echtzeitdetektionen sparen kann, sind z.B. Email Statusmeldungen.<\/p>\n

Und wenn man dann das SIEM Budget optimiert hat, kann man mit Threat Hunting<\/strong> weitermachen. Certis Foster<\/a> hat dazu zum ersten Mal (soweit mir bekannt) den \u201eTime-Terrain-Behavior<\/strong>\u201c Ansatz von MITRE in die Praxis umgesetzt und mittels des \u00f6ffentlich verf\u00fcgbaren \u00a0Splunk Boss of the SOC<\/strong> Datensatzes getestet (BOTSv2, ~70 Mio. Events, 100 Logquellen, 16 GB). Im Wesentlichen wurden dabei Angriffe ohne Erkennungsregeln entdeckt, indem nach statistischen Ausrei\u00dfern entlang mehrerer Dimensionen gesucht wurde \u2013 v\u00f6llig unabh\u00e4ngig von Angriffsketten oder \u201ewenn\u2026 dann\u2026\u201c Logik. Die Dimensionen waren dabei z.B. Zeitabschnitt, Signalquelle und Verhalten (z.B. Anmeldung, Zugriff, Ausf\u00fchrung). Falls ich die Methodik falsch verstanden haben sollte, gerne Bescheid geben. Dass die 3D Visualisierung auch in komplexeren Infrastrukturen gut funktioniert? Wohl kaum. Aber das l\u00e4sst sich ja mittels KI auch automatisch auswerten, und dann sogar mit noch mehr Dimensionen. K\u00f6nnte ich mir gut als Erg\u00e4nzung der bisherigen UEBA vorstellen.<\/p>\n

Unser Freund Dale Peterson<\/a> (der seit ca. 20 Jahren die S4, also die wahrscheinlich weltweit gr\u00f6\u00dfte Konferenz zum Thema OT Security, organisiert), schreibt wie folgt: \u201eThe impact of OT cyber incidents has been minimal. \u2026 <\/strong>The threat, as expressed in vendor reports, government pronouncements, industry studies, conference presentations, and media articles, is vastly overstated. Hyped up. A look at the expressed threat and actual consequences over any time period in the last 20 years clearly shows this.\u201d <\/strong>Tja.<\/p>\n

Immerkehrender Unkenrufe zum Trotz gab es bisher keinen Vorfall mit nennenswerten Konsequenzen, der durch bessere OT Security h\u00e4tte verhindert werden k\u00f6nnen. Ja, es gab vereinzelt OT-spezifische Angriffe. Nein, die verursachten Sch\u00e4den sind im Quervergleich mit anderen Risiken nicht relevant gewesen. Ja, Angriffe auf die IT ziehen regelm\u00e4\u00dfig massive Produktionsabschaltungen nach sich (sieht man aktuell wieder bei JLR, oder vor ein paar Jahren bei Colonial Pipelines), weil z.B. ERP-Systeme nicht verf\u00fcgbar sind. Nein, Angriffe auf Automatisierungstechnik haben zu keinen Produktionsausf\u00e4llen gef\u00fchrt.<\/p>\n