AC Consultance
1 - Netzwierk iwwerwaachen: als éischt gesinn, wat zirkuléiert
Fir eng Attack ze erkennen, muss ee fir d'éischte Kéier Visibilitéit hunn. An de meeschte PME gëtt et vill méi „vernetzt Saachen“ wéi geduecht: PCen, Serveren, Drécker, Wi-Fi, Kameraen, Meeting-Room Systemer, an heiansdo och Produktiouns- oder Gebaite-Equipement. Eng Sond observéiert dës Kommunikatioun am Hannergrond a weist, wien mat wiem schwätzt, wéini a wéi vill.
Dat ass net „Spionage op Leit“, mee eng realistesch Manéier fir d'Netzwierk ze verstoen an eng Basis ze hunn, wat normal ass. Wa spéider eppes aus dem Muster fällt, gëtt et direkt siichtbar.
- Gëtt als physesche Boîtier oder als virtuell Appliance agesat (op Plaz oder remote).
- Gëtt Iwwersiicht iwwer Apparater a Verbindungen: intern (east-west) an no baussen (outbound).
- Hëlleft och wann d'Inventar net komplett ass oder „Shadow IT“ opdaucht.
2 - Schwaach Signaler erkennen: ier de Problem „explodéiert“
Modern Attacke fänken dacks roueg un: geklaute Passwierder, lues lateral Beweegungen, kleng Verbindunge mat externer Infrastruktur. Sou Saache sinn am Alldag net direkt ze gesinn, well d'Symptomer am Ufank kleng sinn. Eng Sond kann genee dës schwaach Signaler erausfilteren: ongewéinlech Zäiten, ongewéinlech Destinatiounen, repetitiv Login-Feeler, oder e Gerät dat op eemol „vill ze vill“ schwätzt.
De Wäert ass praktesch: et gëtt eng fréi Warnung, ier d'Firma mat Ausfäll, Ransomware oder Datenverloscht konfrontéiert ass.
- Beispill: e Computer mellt sech zu ongewéinlechen Zäiten un oder vun engem onerwaarte Plaz.
- Beispill: widderhuelte Login-Versich op méi Maschinnen (Brute-Force / Credential Stuffing).
- Beispill: en Drécker oder IoT-Gerät schéckt op eemol permanent Traffic no baussen.
3 - An Echtzäit alerteren: wann eppes net normal ass, kënnt et direkt erop
Visibilitéit eleng geet net duer: et muss och séier an handlungsfäeg sinn. Eng Sond mécht aus „Netzwierk-Rauschen“ eng Alarm mat Kontext: wat ass geschitt, wéi eng Apparater si betraff, wat ass d'Destinatioun, a firwat ass et verdächteg. Dat erlaabt eng Reaktioun am richtege Moment, net zwee Deeg méi spéit wann d'Schied schonn do sinn.
Am beschte Fall gëtt d'Alarm direkt an d'Aarbechtsfloss integréiert (Mail, Ticket, SOC/Provider), mat enger Minimal-Versioun vu Beweiser, fir datt d'IT net am Niwwel stécht.
- Alarm wann en onbekannten Apparat dem Netzwierk bäitritt (Wi-Fi/LAN).
- Alarm wann e Poste verdächteg oder ongewéinlech Destinatioune kontaktéiert.
- Alarm kann mat Prioritéit/Schweregrad an Kontext geliwwert ginn, fir de „Noise“ ze reduzéieren.
4 - Aktiounen prioriséieren: Beweiser liwweren, richteg Entscheedungen séier huelen
Wann eng Alarm kënnt, ass d'Fro ëmmer: „Wat maachen ech elo als éischt?“ Eng Sond hëlleft genee do: si liwwert konkret Fakten (Maschinn, Zäit, Event-Typ, Destinatioun), fir datt d'IT-Equipe oder de Prestataire d'Reaktioun richteg prioriséiere kann. Amplaz panikéiert ze sichen, gëtt et eng strukturéiert Ausgangsbasis.
Dat passt och an eng méi grouss Logik: eng Sond ass ee Bestanddeel. Si gëtt nach méi staark, wann d'Alerting, d'Incident-Handling an, wann néideg, e SOC-Support doheem sinn.
- Beweiser: betraffene Host, Zäitpunkt, Traffic-Typ, verdächteg Destinatioun.
- Erméiglecht triage: falsch Alarm vs. richtegen Incident.
- Hëlleft dem Provider déi richteg Mesure ze wielen (isoléieren, blockéieren, Credentials resetten, etc.).
