Kein eigenes NDR, sondern der Anschluss des vorhandenen
Wer bereits eine Netzwerkerkennung betreibt, hat die Erkennung. Was meist fehlt, ist der Anschluss an das Managementsystem: Aus einem Alarm muss ein Vorfall werden, aus dem Vorfall ein Risiko und eine Maßnahme, und das nachweisbar. Das Modul holt die Alarme von Exeon, Darktrace und Vectra alle fünf Minuten über die Anbieter-API ab oder nimmt sie per Syslog oder Webhook entgegen. Beide Wege laufen auf denselben Parser. Jeder übernommene Alarm wird ein vollwertiges SIEM-Ereignis mit Normalisierung nach OCSF, Anreicherung um Asset, Netzzone und Standort, Korrelationsregeln, Auto-Vorfall und Regelketten.
Der Cursor bleibt bei einem Fehler stehen, der nächste Lauf holt dasselbe Fenster erneut, und das Fenster überlappt, damit ein Alarm an der Fenstergrenze nicht verschwindet. Die Dubletten, die dadurch entstehen, fängt das Doppelungsregister: Jeder Alarm wird genau einmal zum Ereignis.
Ein NDR-Alarm wird auf die vorhandenen Ereignistypen abgebildet. Was sich nicht einordnen lässt, wird zum Einbruchsversuch und nicht zu „Sonstiges“, und Alarme, die die Plattform gar nicht einstuft, werden immer übernommen.
Bei 401 und 403 pausiert der Konnektor sofort für 30 Minuten, statt Fehlversuche auf einem Konto zu produzieren, das Ihnen gehört. Zugangsdaten werden verschlüsselt gespeichert und nie wieder angezeigt; die Basis-URL und der Schalter für das private Netz stehen dagegen im Audit-Protokoll.
Die Erkennung bleibt bei Ihrer Plattform. Der Vorfall, das Risiko und die Maßnahme landen im Managementsystem, wo der Nachweis geführt wird.
Vereinbaren Sie eine unverbindliche Demo – wir zeigen Ihnen das Modul an Ihren eigenen Anwendungsfällen.
