Angebote für „Managed SIEM“ und „MDR“ vorliegen – wo ist der Unterschied, was passt zu 12 Mitarbeitern?

Rein technisch betrachtet ist SIEM datenbasiert, MDR hingegen verhaltens- und prozessorientiert. Ein SIEM jagt Event-Logs aus unterschiedlichsten Quellen durch eine Korrelations-Engine. MDR setzt mit Sensoren tief im Betriebssystem-Kernel an und fängt Aktionen wie Memory Injection oder Privilege Escalation ab. Wenn ihr keine strikte Pflicht zur reinen Log-Aufbewahrung habt, bringt euch MDR viel zielgerichteter ans Ziel.

Wir standen letztes Jahr mit unserem 18-Personen-Team vor genau demselben Dilemma. Für SIEM standen 2.100 Dollar im Monat plus Aufpreise bei Überschreitung des Log-Volumens im Raum. Bei MDR haben wir uns für 22 Endpoints auf 1.100 Dollar monatlich geeinigt. In den ersten sechs Monaten gab es 14 verdächtige Vorfälle – der Dienstleister hat alle gelöst, ohne dass bei uns nachts jemand aus dem Bett geklingelt wurde.

Schaut genau in die Audit-Vorgaben eures Kunden. Wenn dort nicht ausdrücklich drinsteht dass „sämtliche Systemlogs mindestens 1 Jahr lang in einem SIEM vorgehalten werden müssen“, lasst bloß die Finger von SIEM. Schließt direkt einen MDR-Vertrag ab, dann habt ihr eure Ruhe.

Manche Firmen, die MDR verkaufen, setzen in Wahrheit einfach zwei Praktikanten vor das Antivirus-Panel, das ihr eh schon kennt, und wenn ein Alert reinkommt, schicken sie euch 'ne E-Mail. Schaut euch den SLA-Text im Angebot genau an: Wie viele Minuten Reaktionszeit und übernehmen die selbst die Befugnis, die Maschine im Ernstfall vom Netz zu trennen, oder warten sie auf eure Freigabe?

wenn ihr siem nehmt, werden eure entwickler nach ein paar wochen von den ganzen alarmen genervt sein und die benachrichtigungen stummschalten. und dann fällt beim ersten echten vorfall nichts auf. nehmt mdr gebt die sache jemandem der sich auskennt sag ich.

Hinweis: Dies ist meine persönliche Erfahrung, das muss nicht auf alle zutreffen.

Verlangt euer Kunde diese Überwachung für ein Audit nach SOC 2 oder ISO 27001? Wenn ja, habt ihr dann vorab verlangt, dass euer MDR-Anbieter ein SOC 2 Type 2 Zertifikat hat, und die monatlichen Incident-Response-Report-Formate, die dem Auditor vorgelegt werden?

Wir empfehlen, die im Service Level Commitment festgelegten Reaktionszeiten (MTTD und MTTR) als Vertragsklausel aufzunehmen. Der Unterschied zwischen Erkennungszeit und Aktionszeit wirkt sich im Krisenfall direkt auf eure rechtliche Haftung aus.

und wenn wir MDR nehmen, müssen wir dann auf die Laptops der Mitarbeiter zusätzlich noch ein klassisches Antivirus-Programm installieren oder erledigen diese Agenten beide Aufgaben von allein?

ich bin in derselben Situation, deshalb frage ich und wer bei managed SIEM und MDR hetzt stolpert alle an derselben Stelle.

wenn es jemand andrs macht, würde mich das auch interessieren.

Ich probiere es aus. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Aus Erfahrung weiß ich das.

Hier muss man eine Unterscheidung treffen. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Wenn es jemand anders macht, würde mich das auch interessieren.

Lasst uns die Begriffe trennen, sie werden oft verwechselt. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Korrigiert mich, falls ich falsch liege.

Ich würde sagen, lass uns nichts überstürzen. Das allein zu versuchen, ist der teuerste Weg.

Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich möchte kurz warnen. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Ich schreibe kurz, wie das in der Praxis gemacht wird. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Fehler auf der managed SIEM und MDR-Seite sind meist rückgängig zu machen, aber teuer. Wenn es jemand anders macht, würde mich das auch interessieren.

Richtig.

Der am häufigsten übersehene Punkt bei managed SIEM und MDR ist dieser: Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Das allein zu versuchen, ist der teuerste Weg. Ich hoffe, das hilft dir weiter.