01
Verifizieren
Jedes Notable Event wird gegen seine Alarmkonfiguration geprüft. Nicht im Scope liegende Events werden automatisch geschlossen und als Konfigurationslücke ausgewiesen — in der Queue landen nur echte Alarme.
Automatisiertes SIEM & Security Monitoring
Unser SIEM-Modul macht aus rohen Detections entscheidungsreife Cases: Jedes Notable Event wird verifiziert, mit Business-Kontext angereichert, zu einem Case korreliert, MITRE-ATT&CK-gemappt und priorisiert — bevor ein Analyst entscheidet.
6
automatisierte Pipeline-Schritte: verifizieren, anreichern, korrelieren, MITRE-mappen, priorisieren, eskalieren.
1 : N
ein Deployment, viele Mandanten — Multi-Tenancy von Grund auf.
24/7
Alarmierung der Rufbereitschaft — sofern vorhanden — pro Case dedupliziert.
1
Plattform für Case, Priorität, Dokumentation und Leitfäden — kein Tool-Wechsel im Schichtbetrieb.
Vom Notable Event zum entscheidungsreifen Case
Die SIEM-Pipeline arbeitet automatisiert, wo es sinnvoll ist — und übergibt dem Analysten einen Case, der bereits verstanden ist.
02
Anreichern
CMDB-Kontext zum Zeitpunkt des Events: Asset-Owner, Business-Kritikalität, Standort, Schutzbedarf, End-of-Life-Status und zugehöriger Mandant.
03
Korrelieren
Zusammengehörige Notables werden zu einem lebenden, revisionssicher fortgeschriebenen Case gruppiert statt zu Ticket-Dubletten — mit konfigurierbaren Gruppierungsschlüsseln und Reopen-Fenstern.
04
MITRE-Mapping & Kontext
Use-Cases tragen Taktik- und Technik-Metadaten, eine live ATT&CK-Coverage-Matrix zeigt Lücken. Priorität, Dokumentation und Handlungsleitfäden liegen dabei im selben System wie der Case — kein Wiki-Wechsel, kein Tool-Sprung.
05
Priorisieren
Eine nachvollziehbare Prioritätskette (Mandanten-Defaults, dann System-Defaults) bestimmt Severity und SLA-Uhr — konsistent über alle Analysten und Schichten.
06
Eskalieren
Hat der Kunde eine Rufbereitschaft, alarmieren kritische Cases diese über PagerDuty, Zenduty, Teams-Bots oder eine andere Alarmierungslogik nach Absprache — pro Case dedupliziert. Gegenmaßnahmen können auf Wunsch auch automatisiert ausgeführt werden (Produktoption SOAR erforderlich); über Eskalation und kritische Aktionen entscheidet immer ein Analyst.
Monitoring-Funktionen
Case-Cockpit
Eine Untersuchungsoberfläche pro Case: Timeline, angereicherter Asset-Kontext, verwandte Notables, MITRE-Kontext und vollständiger Audit-Trail.
Whitelisting im 4-Augen-Prinzip
Allow-List-Einträge brauchen Begründung, Freigabe durch einen zweiten Analysten und eine befristete Gültigkeit — vollständig auditiert, kein stilles Tuning.
SLA-Tracking
SLA-Berechnung je Priorität mit Breach-Boards, Überfälligkeit in Minuten und Reporting zu erfüllten und verletzten SLAs.
Strukturierte Fallabschlüsse
Primäre und sekundäre Closure-Tags ergeben konsistente, auswertbare Abschlussgründe — inklusive Massenabschluss für laute Szenarien.
Use-Case-Lebenszyklus
Gepflegte Detection-Bibliothek mit Verantwortlichen, Tuning-Historie und MITRE-Navigator — Detection Engineering statt Einzelsuchen.
Detection-Assurance
Automatische und manuelle Retests belegen, dass Use-Cases wirklich auslösen; das Health-Monitoring überwacht die Plattform selbst.
Ein Deployment, viele Mandanten
Die Mandantenzuordnung ist zentral und verbindlich geregelt, nicht Sache einzelner Dashboards. Die Isolation gilt durchgängig — Detection, Enrichment, Case, Alarm, Dashboard und Web-Konsole.
- ✓ Kein Mandant sieht Notables, Cases, Assets oder Whitelists eines anderen
- ✓ Passend für MSSPs und Konzerne mit vielen Tochtergesellschaften oder Bereichen
- ✓ Eigene Dashboards und KPIs je Mandant bei strikten Datengrenzen
KI-gestützt, Analyst entscheidet
KI erstellt Triage-Zusammenfassungen und Vorschläge für Use-Case-Beschreibung, Priorität und MITRE-Mapping. Eskalation, Reaktion und Abschluss bleiben menschliche Entscheidungen.
Ihr Modell, Ihre Datengrenze
Modellflexibler Betrieb mit Cloud-Anbietern, LiteLLM-Proxy oder lokalen Ollama-Modellen für On-Premise-Verarbeitung.
Auf Splunk aufgebaut
Das SIEM-Modul erweitert Ihre Splunk-Plattform, statt sie zu ersetzen — und wird auf Wunsch von unseren SOC-Analysten betrieben.
Passt zu Ihrem Stack
Vorgefertigte Integrationen für Detection, Response, Intel und Rufbereitschaft — neue Quellen binden wir via REST-API, Webhooks oder individuelle Connectoren an.
Splunk
CrowdStrike
Microsoft Defender
PagerDuty / Zenduty
Greenbone
NVD / CISA KEV / EPSS
VirusTotal
Jira
Integrierte Module
SOAR
Analysten-freigegebene Response-Playbooks mit visueller Workflow-Engine, verschlüsselten Secrets und auditierten Aktionen.
SOAR entdecken →Vulnerability Management
Scanner-Findings werden zu SLA-getrackten Cases, priorisiert nach realer Ausnutzbarkeit (KEV/EPSS) und Asset-Kritikalität.
Vulnerability Mgmt entdecken →Threat Intelligence
Operative IOC-Dashboards und Pipeline-Enrichment fließen direkt in Detection und Case-Kontext ein.
Threat Intel entdecken →Aus Alarmflut wird klare Entscheidung
In der Demo zeigen wir die Pipeline — Verifikation, Enrichment, Korrelation und MITRE-Coverage — an unseren Beispieldaten. An Ihren echten Daten und in Ihrer Umgebung läuft das im Rahmen eines Proof of Concept.
Telefon: +49 6109 500 324 1
E-Mail: [email protected]
Zuerst Architektur und Use-Cases? Zum SIEM Consulting / Use-Case Development · CyStrat SOC Suite im Detail
Häufige Fragen
Antworten auf die Fragen, die uns Kunden am häufigsten stellen.
Was leistet das SIEM-Monitoring von CyStrat?
Zentrale Sammlung und Normalisierung Ihrer Logs, Korrelation zu Angriffsketten, MITRE-ATT&CK-Mapping und 24/7-Verifikation der Alarme durch Analysten.
Welche Logquellen lassen sich anbinden?
Firewalls, Proxies, Identity Provider, Endpoints/EDR, Cloud- und SaaS-Dienste, Server, OT-Gateways sowie eigene Anwendungen über Syslog oder API.
Wie werden Fehlalarme reduziert?
Durch Kontextanreicherung, Threat Intelligence und kontinuierliches Use-Case-Tuning — siehe SIEM Consulting.
Wie erfolgt die Eskalation?
Über abgestimmte Wege wie PagerDuty, Zenduty, Teams-Bots oder Ticketsystem — optional mit automatisierten Gegenmaßnahmen via SOAR.
Ihre Frage ist nicht dabei? Frage stellen