1Security + Splunk

Splunk durchsucht, was passiert ist. 1Security sagt ihm, wer was erreichen konnte.

Splunk ist das Zuhause Ihres SOC: jede Quelle, eine Suchsprache, Warnungen nach Risiko sortiert. 1Security verbindet sich schreibgeschützt mit Ihrem Microsoft 365 Mandanten und gibt Splunk das, was ein rohes Audit-Ereignis nicht trägt - welcher Benutzer, auf welchem Gerät, aus welcher Stadt, welche Datei berührt hat und wie viele weitere Dateien dieses Konto öffnen könnte. Ihre Suchen beginnen mit einer Zeile, die die ersten drei Fragen schon beantwortet.

Demo buchenLive-Demo

Was Splunk leistet

Das SIEM, in dem alles steht, und der Workflow darum herum.

Ein Ort für jedes Protokoll, das Ihre Organisation erzeugt, und eine Erkennungspraxis, die darauf aufbaut.

  • Jede Quelle, eine Suchsprache

    Splunk Enterprise sammelt Maschinendaten aus Tausenden Quellen in Terabyte-Größenordnung, mit über 2.300 sofort einsatzbereiten Integrationen und einer Suchsprache über alles. Wenn es passiert ist und protokolliert wurde, findet eine Suche es.

  • Warnungen nach Risiko sortiert

    Splunk Enterprise Security bringt SIEM, SOAR und UEBA in einer Plattform zusammen. Risikobasiertes Alerting senkt das Warnungsvolumen um bis zu 90 %, sodass Analysten ihre Zeit auf Bedrohungen verwenden statt auf eine Warteschlange.

  • Detection Engineering mit sichtbarer Abdeckung

    Detection Studio steuert den Lebenszyklus der Erkennungen von Anfang bis Ende, abgebildet auf MITRE ATT&CK und angereichert mit Threat Intelligence von Cisco Talos. Ihre Abdeckung ist ein Diagramm, keine Vermutung.

Die Frage, die dieses Paar beantwortet

Eine Protokollzeile sagt, was passiert ist. Nicht, was erreichbar gewesen wäre.

Eine Splunk-Erkennung nennt um 02:14 ein Konto. Die nächsten drei Fragen sind immer dieselben: Wer ist das, was kann es öffnen, und ist diese Nacht normal für dieses Konto? Diese Antworten stehen in keinem Ereignis, denn stehende Berechtigungen in Microsoft 365 sind Zustand, keine Aktivität. Ein 2023 erstellter Freigabelink schreibt heute Nacht nichts. Eine verschachtelte Gruppe erweitert die Reichweite auf eine Website, die keine Protokollzeile erwähnt. In einem typischen Mandanten kann ein gewöhnliches Konto mehr als 200.000 Dateien öffnen, und nichts im Audit-Strom sagt das.

Also verlässt der Analyst Splunk, um es herauszufinden - Berechtigungsdialoge, Gruppenmitgliedschaften, ein Skript pro Website - und kommt eine Stunde später mit einer Schätzung zurück. Diese Stunde ist der gesamte Preis der Warnung, und er wird auch bei False Positives bezahlt.

1Security hält diese Antwort bereit. Es löst auf, was jeder Benutzer, Gast, jede App und jeder KI-Agent über direkte Berechtigungen, Freigabelinks, Gruppen und Vererbung erreichen kann, bewahrt bis zu drei Jahre zugeordnete Aktivität auf und übergibt Splunk Ereignisse, die den Kontext bereits tragen. Die Erkennung feuert weiter in Splunk. Die Stunde entfällt.

Was 1Security ergänzt

Vier Dinge, die Splunk aus dem Mandanten bekommt und vorher nicht hatte.

1Security verbindet sich schreibgeschützt mit Microsoft 365, baut den Berechtigungsgraphen und die Aktivitätshistorie auf und stellt beides Splunk über eine schreibgeschützte REST-API bereit.

  1. 01

    Reichweite an jedem Ereignis

    Jedes Microsoft 365 Ereignis, das 1Security ausgibt, ist mit Benutzer, Datei oder Postfach, App, Gerät und Standort verknüpft, und das Konto dahinter kommt mit dem, was es öffnen kann: Websites, Dateien, Postfächer, aufgelöst über Verschachtelung, Links und Vererbung. Eine Schadensradius-Frage, die einen halben Tag dauerte, ist ein Feld in der Zeile.

  2. 02

    Eine Baseline für jedes Konto

    Jeder Benutzer, jede App und jeder KI-Agent wird gegen die eigene bisherige Aktivität bewertet. "340 Downloads heute" kommt bereits verglichen mit den üblichen 12 an, mit einer Anomalie-Episode, auf der Splunk korrelieren kann. Dahinter stehen bis zu drei Jahre Historie auf Standard-Lizenzen für Microsoft 365.

  3. 03

    Geräte und Standorte, nicht nur IP-Adressen

    Jedes Ereignis trägt das Gerät (verwaltet, nicht verwaltet oder nie registriert) und den Standort als Land, Stadt und Netztyp - Hosting, VPN, Büro. Ein Urteil zu unmöglicher Reise ist ein Wert in der Zeile, keine Suche, die Sie schreiben.

  4. 04

    Eine Korrektur, die auf einen Menschen wartet

    Wenn Splunk eskaliert, passiert die Korrektur in 1Security hinter einem Prüffenster - Links ablaufen lassen, Zugriff entfernen, Sitzungen widerrufen - pro Ressource vorbereitet, standardmäßig 72 Stunden, protokolliert mit dem, der freigegeben hat. Nichts Unumkehrbares läuft allein auf einer Automatisierung.

Wie beides zusammenpasst

Splunk behält Aufzeichnung und Workflow. 1Security behält den Kontext.

Splunk bleibt das SIEM, in dem alles steht: Index, Erkennungen, automatisierte Reaktion, der Fall. 1Security verbindet sich mit Ihrem Microsoft 365 Mandanten per schreibgeschützter Zustimmung - ohne Agenten, mit Standard-Lizenzen, erste Erkenntnisse noch am selben Tag - und pflegt, was ein Protokollstrom nicht kann: den aufgelösten Berechtigungsgraphen, die Baselines pro Konto und drei Jahre zugeordnete Historie. Splunk holt Audit-Protokolle, Erkennungen und Sicherheitswarnungen von 1Security nach Zeitplan aus der schreibgeschützten REST-API, und jede Zeile kommt mit Wer, Gerät, Standort und Reichweite bereits angehängt an. Braucht ein Analyst das ganze Bild, öffnet ein Klick das Konto in 1Security.

  • 1 Tag
    von der schreibgeschützten Zustimmung zu den ersten Erkenntnissen
  • 10 min
    bis zu einer Schadensradius-Antwort, die früher einen halben Tag dauerte
  • 3 Jahre
    zugeordnete Aktivität hinter jeder Warnung

Gemeinsam in der Praxis

NIS2 gibt Ihnen 24 Stunden. Der Umfang sollte ein Nachschlagen sein, kein Projekt.

Artikel 23 NIS2 stellt einen erheblichen Vorfall unter die Uhr: eine Frühwarnung binnen 24 Stunden nach Kenntnis, eine vollständige Meldung binnen 72, danach ein Abschlussbericht. Die Aufsicht will in diesen Fenstern Umfang - was getroffen wurde, wie schwer und was es berührt hat - kein Versprechen, es herauszufinden.

Splunk klärt die Ereigniskette: wann es begann, welche Systeme beteiligt waren, was Erkennungen und automatisierte Reaktion getan haben. 1Security klärt den Umfang: jede Datei, Website und jedes Postfach, die das betroffene Konto erreichen konnte, in Minuten aufgelöst, und was es tatsächlich berührt hat, gemessen an drei Jahren eigener Historie. Beides steht in der Zeile, die Splunk schon hat.

Die Frühwarnung geht mit echten Zahlen hinaus. Die 72-Stunden-Meldung nennt 214.000 erreichbare Dateien und 3.100 mit personenbezogenen Daten, nicht "möglicherweise betroffen". Und die Behebung danach ist vorbereitet, geprüft und protokolliert, sodass der Abschlussbericht eine Zeitleiste der Korrekturen anhängen kann.

Integration

Pull-basiert, schreibgeschützt, nach Ihrem Zeitplan.

Splunk holt aus der schreibgeschützten REST-API von 1Security unter /api/v1: normalisierte Microsoft 365 Audit-Protokolle, angereichert um Benutzer, Datei, Gerät, Standort und Reichweite; Erkennungen aus den eigenen Detektoren und Richtlinien von 1Security; und Sicherheitswarnungen aus Defender oder Sentinel mit demselben Kontext. Schlüssel gelten pro Mandant, sind auf Bereiche begrenzt und schreibgeschützt, sodass ein Splunk-Collector die Daten lesen und weder in 1Security noch in Microsoft 365 etwas ändern kann. Zustellung per Webhook ist geplant; bis dahin ist die Abfrage nach Zeitplan das unterstützte Muster.

Geben Sie Ihren Splunk-Warnungen das Wer, die Reichweite und die Historie.

Verbinden Sie 1Security schreibgeschützt und richten Sie Splunk auf die API. Ihre nächste Microsoft 365 Erkennung kommt mit Konto, Reichweite und Baseline bereits in der Zeile an.

Demo buchenLive-Demo
Oder überlassen Sie Splunk die ersten drei Fragen weiterhin von Hand.