Kein zweites MISP, sondern der Bruchteil, der uns betrifft
Eine mittlere MISP-Instanz hält Hunderttausende bis Millionen Attribute. Sie zu kopieren wäre ein Datenfriedhof mit hohem Rauschen. Das Modul liest deshalb strömend, blockweise, gleicht sofort gegen den eigenen Bestand ab und behält nur, was passt: Gespeichert werden die Wachliste und das Urteil, nicht die Fremddatenbank. Jede verworfene Zeile wird mit Grund gezählt statt still geschluckt, damit sich eine gute Bewertung von einer zu engen Typliste unterscheiden lässt. Der harte Anker ist ISO 27001 A.5.7; § 30 Abs. 2 BSIG nennt Bedrohungsinformationen nicht, und das Modul behauptet es auch nicht.
MISP liefert seitenweise. Jede Seite wird sofort normalisiert, bewertet und gegen die Relevanzschwelle gehalten. Im Speicher liegt nie mehr als eine Seite, und in der Datenbank landet nur, was den eigenen Sektor, die eigenen Technologien oder die eigene Geografie betrifft.
Wer den Abrufcursor bei einem Fehler trotzdem setzt, überspringt Indikatoren und merkt es nie. Deshalb bleibt er stehen, der Folgelauf beginnt 15 Minuten vor dem Cursor, und Dubletten fängt der Schlüssel der Wachliste. Nach einem Anmeldefehler pausiert die Quelle zwei Stunden, statt ein fremdes Konto zu sperren.
Ein Treffer ist kein Eintrag in einer Liste, sondern ein Treffer an einem konkreten System: aus dem Abgleich mit SIEM, CSAF, ASM und Client-Management entstehen Vorfall und Maßnahme, wahlweise über die Regelkette mit Eindämmung und Firewall-Regel.
Der Bruchteil der Bedrohungslage, der das eigene Haus betrifft, als Treffer am System statt als Kopie einer fremden Datenbank.
Vereinbaren Sie eine unverbindliche Demo – wir zeigen Ihnen das Modul an Ihren eigenen Anwendungsfällen.
