Die SecureVisio-Architektur: Skalierbarer Data Lake, NG-SIEM und Hochverfügbarkeit by Design

Die meisten Security-Teams stoßen früher oder später an dieselbe Wand: Je mehr Daten sie in ihr SIEM einspeisen, desto langsamer läuft es – und desto schneller klettert die Rechnung. Bis sie stillschweigend zu einem schlechten Tausch gezwungen werden: entweder immer mehr zahlen oder genau die Logs löschen, die sie im Ernstfall brauchen. SecureVisio wurde gezielt dafür entwickelt, diesen Zielkonflikt aufzulösen.

Als integrierte SIEM-/UEBA-/SOAR-Plattform trennt SecureVisio einen kostengünstigen Data Lake für die Speicherung von einer hochwertigen NG-SIEM-Schicht für die Analyse. Das Ergebnis ist eine Architektur, in der Sie alle Ihre Daten behalten, für fortgeschrittene Analysen nur dort zahlen, wo sie Sie tatsächlich schützen, mit wachsendem Datenvolumen horizontal skalieren und auch bei Komponentenausfällen online bleiben. Dieser Artikel zeigt, wie das funktioniert – vom Kostenproblem, das diese Architektur löst, über das Schichtenmodell und die Suchperformance bis zu den Hochverfügbarkeitsmechanismen darunter.

Das Kernproblem klassischer SIEM-Systeme: Speicherung und Analyse sind nicht getrennt

Im traditionellen Modell bilden Speicherung und Analyse der Daten ein untrennbares System, das als Ganzes bepreist wird. Der Kunde zahlt den höchsten Tarif für jede einzelne Information – auch für die Daten, die er nie analysiert. Diese eine Designentscheidung erzeugt drei sich gegenseitig verstärkende Probleme:

• Die Performance sinkt mit wachsender Datenmenge. Je mehr Daten in der Analyse liegen, desto langsamer reagiert das System – und zwar ausgerechnet dann, wenn Sie mitten im Incident die schnellste Antwort brauchen.
• Die Kosten wachsen exponentiell, nicht linear. Jedes neue System, jede neue Datenquelle und jede Verlängerung der geforderten Aufbewahrungsfristen treibt die Rechnung. Eine Verdopplung der Datenmenge kann eine Vervielfachung der Kosten bedeuten – nicht das Doppelte.
• Ein Preis für alles. Daten, die für die aktive Analyse gebraucht werden, und Daten, die nur „im Regal“ liegen, kosten exakt gleich viel.

Der verborgene Eisberg: die Total Cost of Ownership eines SIEM

Die Lizenzgebühr auf der Rechnung ist nur die Spitze des Eisbergs. Im monolithischen Modell steigen alle Kostenpositionen gleichzeitig: Lizenz, Infrastruktur, Skalierung mit wachsenden Datenmengen, die Architektur des Herstellers sowie laufende Wartung und Tuning.

Die Herstellerarchitektur – Indexierung, Hot-/Warm-/Cold-Datenebenen und die Frage, ob das Log-Management vom SIEM getrennt ist – ist ein entscheidender Faktor für die Total Cost of Ownership. Um die Ausgaben einzudämmen, beginnen Kunden, Aufbewahrungsfristen zu kürzen oder Daten zu löschen. Und damit sind wir wieder beim selben schlechten Kompromiss: immer mehr zahlen oder auf Sichtbarkeit verzichten.

Die Antwort von SecureVisio: ein vom NG-SIEM getrennter Data Lake

SecureVisio umgeht diese Falle, indem es die Architektur in zwei unabhängig skalierbare Schichten aufteilt:

• einen Data Lake als Datenschicht – hier wird alles gespeichert, und zwar kostengünstig;
• ein NG-SIEM als Schutzschicht – hier werden ausgewählte Daten für Prävention, die Erkennung realer Bedrohungen und die Reaktion analysiert.

Der Effekt ist simpel: Der Kunde behält alle Daten im Data Lake und zahlt für die fortgeschrittene NG-SIEM-Analyse nur dort, wo sie ihn wirklich schützt – niemals für die Verarbeitung von Daten, die das nicht benötigen.

Warum die Trennung der Schichten entscheidend ist

Zwei Ergebnisse machen diese Trennung zu mehr als einem Implementierungsdetail.

Volle Sichtbarkeit. Ihren Wert beweist sie in dem Moment, in dem ein Incident eintritt. Sicherheitsverletzungen werden oft erst Monate nach der Kompromittierung entdeckt. Fehlen die Logs aus dem Zeitraum des Angriffs, lässt sich der Ablauf der Ereignisse nicht mehr rekonstruieren, der Umfang des Vorfalls nicht mehr bestimmen und nicht mehr bestätigen, ob die Bedrohung vollständig beseitigt wurde. Günstige, vollständige Speicherung hält diese Historie intakt.

Kostenkontrolle. Das Datenvolumen wächst mit der Organisation – neue Systeme, Cloud-Migration, mehr Quellen. In monolithischen Architekturen führt dieses Wachstum gleichzeitig zu steigenden Kosten und sinkender operativer Effizienz. Die Trennung von Speicher- und Analyseschicht erlaubt es, beide unabhängig voneinander und planbar zu skalieren: Die Speicherkapazität wächst linear, Rechenleistung kommt nur dann hinzu, wenn der analytische Bedarf es tatsächlich erfordert.

Ein Blick in die Architektur

Im Kern nutzt SecureVisio ein dreischichtiges Design – eine Präsentationsschicht (GUI), eine Applikationsschicht (Application Server) und eine Datenschicht (Database Server) –, auf das über SV Center und einen Browser oder eine dedizierte Applikation zugegriffen wird. Um diesen Kern herum skaliert ein erweiterbares Set an Diensten nach Bedarf: Zone Collectors, XDR-Agenten, Flow Collectors, Schwachstellenscanner, ein PAM-Dienst und ein Playbook-Dienst – jeder davon kann von einer einzelnen auf viele Instanzen wachsen. Genau das lässt die Architektur im Gleichschritt mit der Umgebung skalieren statt gegen sie.

Die Data-Lake-Schicht: LogForwarder und LogStore

Der Data Lake ist die Log-Management-Schicht und besteht aus zwei Komponenten – entscheidend dabei: Hier findet keinerlei Korrelation statt. Das eliminiert das Problem eines SIEM, das Rechenleistung auf irrelevante Logs verschwendet; das Routing wird vollständig über Regeln gesteuert, die während des Deployments konfiguriert werden.

• LogForwarder definiert Aufbewahrungsrichtlinien und übernimmt Empfang, Parsing und Verteilung der Logs an die richtigen Repositories. Auf Basis definierter Regeln entscheidet er, welche Repositories Roh- und normalisierte Logs erhalten und ob Daten korreliert oder nur archiviert werden – und er kann dieselben Daten parallel an mehrere Repositories senden.
• LogStore ist der Dienst für das Schreiben der Logs sowie für Aufbau und Speicherung der Indizes. Ausgelegt auf effiziente Speicherung und schnelle Suche über sehr große Volumina hält er sowohl Roh- als auch normalisierte Logs vor – für fortgeschrittene Analysen ebenso wie für Beweis-, Audit- und Regulierungsanforderungen.

Die Log-Management-Schicht betreibt viele Collectors dieses Typs. Jeder verarbeitet rund 18.000 EPS und ermöglicht so – mit der entsprechenden Rechenleistung dahinter – horizontale Skalierung bis zu 11 TB pro Tag.

Niedrigere TCO dank Data Lake

Die Data-Lake-Architektur senkt die Gesamtkosten des Datenbesitzes signifikant – über zwei Mechanismen:

• Trennung von Speicher- und Compute-Schicht. Das ist das Schlüsselelement: Die Kosten für die Speicherung und die Kosten für die Analyse werden voneinander unabhängig. Die Situation, in der Analyse automatisch unverhältnismäßige Infrastrukturkosten erzeugt, entfällt.
• Datenkompression. Sie sorgt für zusätzliche Optimierung, senkt den Bedarf an Speicherplatz und schlägt sich direkt in niedrigeren Kosten nieder. Das Ergebnis: Die Kosten wachsen linear mit dem Datenvolumen und bleiben planbar, statt nichtlinear mit der Last auf dem Analysesystem zu eskalieren.

Statt alle Daten in einer teuren SIEM-Ebene zu halten, nutzt SecureVisio einen günstigeren, skalierbaren Datenspeicher, in dem der Großteil des Volumens im Modus „Speicherung“ statt im Modus „analytische Verarbeitung“ betrieben wird.

Schnelle Suche auf einem kostengünstigen Data Lake

Niedrige Speicherkosten müssen nicht langsame Abfragen bedeuten. Der Data Lake liefert hohe Query-Performance durch mehrere ineinandergreifende Mechanismen:

• Spaltenorientiertes Format – Abfragen lesen nur die benötigten Spalten statt ganzer Datensätze, was die zu verarbeitende Datenmenge drastisch reduziert.
• Zeitpartitionierung – die Daten sind nach Zeit unterteilt; Abfragen berühren nur den relevanten Zeitraum statt des gesamten historischen Bestands.
• Parallele Verarbeitung – Abfragen laufen gleichzeitig über viele Knoten, was die Analysezeit bei großen Volumina verkürzt.
• Hot-Data-Ebene – die frischesten Daten landen auf den schnellsten Medien und liefern sofortigen Zugriff auf die am häufigsten genutzten Informationen.

In der Praxis dauert die Suche nach einem bestimmten String über eine ganze Woche an Logs im ungünstigsten Fall rund 10 Sekunden – nämlich dann, wenn es keinen Treffer gibt und der gesamte Bereich analysiert werden muss. Existiert das Muster, erscheinen die Ergebnisse fast unmittelbar nach dem ersten Treffer.

Hot-/Warm-/Cold-Tiering

Das Tiering der Daten erlaubt es, die Infrastrukturkosten daran auszurichten, wie häufig die Daten tatsächlich genutzt werden:

• Hot – die neuesten Daten auf den schnellsten Medien (SSD/RAM). Sie bedienen die meisten aktuellen Abfragen und liefern sofortige Antworten.
• Warm – historische Daten mit moderater Zugriffshäufigkeit auf günstigeren, aber weiterhin leistungsfähigen Medien.
• Cold – Archivdaten, die selten analysiert werden, auf sehr kostengünstigen Medien – und dennoch für Audits und forensische Untersuchungen verfügbar.

Die NG-SIEM-Schicht: Analyse dort, wo sie zählt

Weil die in der SIEM-Engine implementierten Regeln sicherstellen, dass nur ein ausgewählter Teil des Traffics sie überhaupt erreicht, eliminiert das NG-SIEM den ungerechtfertigten Verbrauch von Rechenressourcen. Die Schicht besteht aus vier Schlüsselkomponenten:

• EventStore – der Dienst, der Events schreibt; ein Repository für Sicherheitsereignisse, die von der Korrelations-Engine und anderen Analysemodulen erzeugt werden. Die Trennung des EventStore vom Log-Speicher macht Reporting, Suche, Incident-Analyse und das Lifecycle-Management von Events effizienter.
• AnomalyDetector – führt Anomalieanalysen mit maschinellem Lernen durch (unter anderem Isolation Forest, Statistik und Rare-Value-Erkennung) sowie Verhaltensanalysen mit Benutzer- und Asset-Profiling (UEBA) – und macht ungewöhnliches Verhalten und Angriffe sichtbar, die klassische Korrelationsregeln übersehen.
• PolicyEngine – die Korrelations-Engine für SIEM und UEBA, die zudem die CMDB automatisch aus den eingehenden Daten befüllt. Die Korrelationsregeln greifen hier auf Asset-, Schwachstellen- und Risikokontext zurück, um Incidents präzise zu erkennen.
• Collector Controller – überwacht den Zustand von SecureVisio, den Collectors und den XDR-Agenten, übernimmt Updates und bildet die Grundlage der Hochverfügbarkeit: Er erkennt Ausfälle, schaltet Module auf Standby-Instanzen um und stellt Health-Check-Ports für Monitoring-Systeme und externe Load Balancer bereit.

Horizontale Skalierung mit Zone Collectors

SecureVisio skaliert durch das Hinzufügen von Zone Collectors – autonomen Knoten für Empfang, Verarbeitung und Speicherung von Telemetrie, von denen jeder als separate physische, virtuelle oder Cloud-Einheit laufen kann. Jeder verarbeitet typischerweise rund 18.000 EPS und arbeitet vollständig unabhängig, sodass der Durchsatz praktisch linear wächst. Mit fünf Collectors erreichen Sie die Größenordnung von 90.000 EPS – unabhängig davon, ob sie auf physischen Servern, VMs oder in der Cloud laufen.

Die Suche skaliert genauso. Log-Abfragen laufen parallel über alle Collectors, und die Ergebnisse werden automatisch zu einer einzigen, kohärenten Ansicht in der Operator-Konsole aggregiert – unabhängig davon, wo die Collectors tatsächlich stehen. Der Effekt ist bemerkenswert: Die Suchgeschwindigkeit bei 90.000 EPS ist dieselbe wie bei 10.000 EPS.

Schichtentrennung als Sicherheitsmerkmal und regelbasierte Weiterleitung

Die vollständige Trennung der Log-Speicherschicht von der Analyseschicht – Korrelation, UEBA und Anomalieerkennung – kann auf Dienstebene oder physisch umgesetzt werden, über verschiedene Standorte und Sicherheitszonen hinweg. Parsing und Speicherung der Logs können an einem Standort stattfinden, während Korrelation und Anomalieanalyse an einem anderen laufen.

Was zu den korrelierenden Collectors gelangt, steuern LogForwarder-Regeln. Eine Regel im Script-Tab kann etwa die Form isTrue(frame.IsTraffic) haben – und nur qualifizierende Regeln bestimmen, welche Logs in die Korrelationsanalyse einfließen. Netzwerk-Traffic, der eine Bedingung wie IsTraffic erfüllt, kann lokal im Log-Repository gespeichert und gleichzeitig remote an einen anderen Zone Collector zur Korrelation weitergeleitet werden – während die Log-Management-Schicht vollständig von der Korrelation isoliert bleibt.

Geografische Trennung und regulatorische Compliance

Für Organisationen, die unter Rahmenwerke wie NIS2 und DORA fallen, wird diese Trennung zum Compliance-Enabler. Logs können gemäß den lokalen Vorschriften innerhalb eines Landes oder einer Region gespeichert werden, während ausgewählte Ereigniskategorien – etwa Sicherheitsereignisse – zur Korrelation und Incident-Bearbeitung an einen zentralen Standort repliziert werden.

• Edge-Standorte betreiben Zone Collectors für Empfang, Parsing und Speicherung der Logs.
• Der zentrale Standort betreibt Zone Collectors mit erweiterten Korrelations- und Analysekomponenten (PolicyEngine, AnomalyDetector).
• Der LogForwarder steuert, welche Logs strikt lokal bleiben und welche zur zentralen Korrelation repliziert werden.

Das Ergebnis ist ein verteiltes Deployment, das Datenresidenz-Anforderungen erfüllt, ohne die zentrale Sichtbarkeit zu opfern.

Threat Hunting mit logischen Ausdrücken

Threat Hunting basiert in SecureVisio auf Abfragen aus logischen Ausdrücken, die sich frei kombinieren und verschachteln lassen – ganz ohne spezialisierte Abfragesprache. Analysten arbeiten mit vertrauten Bausteinen:

• Logische Operatoren – AND verlangt beide Bedingungen (Eingrenzung), OR mindestens eine (Erweiterung), NOT / != schließt Rauschen wie vertrauenswürdige Prozesse und IPs aus.
• Muster und Zeichen – Wildcards (*, %, z. B. malware), reguläre Ausdrücke und der .-Operator für Varianten wie obfuskierte Befehle und C2-Domains sowie Vergleiche (==, !=, >, <, z. B. FileSize > 16).

Abfragen aus logischen Ausdrücken geben dem Analysten die volle Kontrolle darüber, wonach er im Event-Repository sucht – ohne starre, vorgefertigte Filter.

KI-gestützte Log-Suche

Die in die Plattform integrierte generative KI führt Threat Hunting noch einen Schritt weiter. Direkt aus dem Log-Viewer heraus kann der Operator mit einem AI Assistant arbeiten und detaillierte Prompts definieren – Rollen, Schemata, Filter, Befehle, HTTP-Requests, SQL-Abfragen oder Log-Zusammenfassungen –, die Systemaktionen anstoßen und fertige Abfragen, Zusammenfassungen oder Empfehlungen zurückliefern.

Ein einfacher „Analyze everything“-Prompt erzeugt eine detaillierte Erklärung eines Events; der Operator kann die Antwort mühelos kürzen oder um eine konkrete Empfehlung für die nächsten Schritte bitten. SecureVisio geht noch weiter und schlägt konkrete Maßnahmen zur Reduzierung eines bestimmten Risikos vor – inklusive der Vor- und Nachteile jedes Ansatzes. So werden aus rohen Log-Zeilen fundierte Entscheidungsgrundlagen.

Log-Speicherung und Datenintegrität

Unter all dem liegt ein Speichermodell, das auf Vertrauen ausgelegt ist. Logs werden sowohl in roher als auch in normalisierter Form im LogStore gehalten – einer dedizierten, dateibasierten Datenbank, die eigens für SecureVisio entwickelt wurde. Die Dateien sind im Schnitt rund 300 MB groß, komprimiert und kryptografisch mit einer Hash-Funktion und einem digitalen Zertifikat geschützt. Das garantiert Integrität und Nichtabstreitbarkeit – entscheidend bei Audits und in Beweisverfahren – und vereinfacht das Retention-Management sowie die Planung der Speicherkapazität.

Flexible Datenerfassung und flexibles Parsing

SecureVisio unterstützt sowohl aktive als auch passive Erfassung und deckt heterogene IT- und OT-Umgebungen ab. Zu den aktiven Methoden zählen API-Integrationen, das Microsoft Security Event Log via MSRPC, Datenbankzugriffe via ODBC, das Lesen von Flat Files, E-Mail und die SecureVisio-XDR-Agenten. Passive Methoden umfassen Syslog im Klartext wie verschlüsselt (z. B. TLS/SSL), Windows Event Forwarding, NetFlow/sFlow/IPFIX und Webhooks. Die Plattform integriert zudem externe Schwachstellenscanner und Inventarisierungswerkzeuge (SNMP, LLDP, CDP, Netzwerkscanner, WMI) und befüllt die CMDB und das Schwachstellenmanagement-Modul automatisch.

Beim Parsing verarbeitet sie ein breites Spektrum an Formaten – CEF, Syslog (RFC 3164 und RFC 5424), E-Mail-Strukturen, reguläre Ausdrücke, LEEF, URL-basierte HTTP-Abfragen, XML und JSON nach Struktur sowie Key-Value mit definierbarem Trennzeichen. Neue Quellen lassen sich so schnell anbinden, während die Datenqualität für Korrelation und Anomalieanalyse hoch bleibt.

Hochverfügbarkeit: eine kritische Anforderung

Im Sicherheitskontext gilt Hochverfügbarkeit als kritisch – aus konkreten Gründen:

• Eine Lücke in der Monitoring-Kontinuität öffnet ein Zeitfenster, das ein Angreifer ausnutzen kann.
• Ein Ausfall darf niemals den Verlust der gesammelten Ereignishistorie bedeuten.
• Logs sind Beweismaterial und die Grundlage regulatorischer Compliance.
• Das System muss trotz Komponentenausfällen weiterlaufen – durch Redundanz und automatisches Failover.

SecureVisio unterstützt HA-Szenarien vollständig, sowohl für Collectors als auch für XDR-Agenten, im Active-Active- oder Active-Passive-Modus – je nach Verfügbarkeitsanforderungen und Netzwerkarchitektur. Die HA-Steuerung übernimmt der Collector Controller: Er überwacht den Zustand der Collectors und XDR-Agenten, stellt Health-Check-Ports für Monitoring-Systeme und externe Load Balancer bereit und erkennt Ausfälle, um den Traffic auf Standby-Collectors oder -Agenten umzuschalten – und so Lücken im Monitoring zu minimieren.

HA lässt sich auf zwei Wegen realisieren. Autonom, mit Failover-Logik innerhalb von SecureVisio selbst – das vereinfacht Architektur und Integration. Oder über externe Mechanismen: SecureVisio stellt Health-Check-Ports bereit, und ein externer Load Balancer schaltet den Traffic eigenständig zwischen primären und Standby-Collectors um – inklusive Failback, sobald die Störung behoben ist. In beiden Modellen ist das Signal eindeutig: Das Schließen eines Health-Check-Ports teilt dem Monitoring-System oder Load Balancer mit, dass eine Instanz fehlerhaft arbeitet und aus dem Traffic genommen werden soll.

Eine Plattform, viele Funktionen

Die Architektur von SecureVisio wurde von Grund auf für Hochverfügbarkeit, Skalierbarkeit und Deployment-Flexibilität in komplexen Enterprise-Umgebungen entworfen. Die zentrale Plattform liefert fortgeschrittenes Log-Formatting und -Parsing, Integrationen mit externen Systemen, einen dedizierten dateibasierten Log-Speicher und native Hochverfügbarkeit. Autonome Zone Collectors ermöglichen horizontale Performance-Skalierung, die Trennung von Log-Management und Analyse sowie verteilte Architekturen im Einklang mit regulatorischen Anforderungen.

In Summe vereint SecureVisio SIEM, UEBA, SOAR sowie Asset-, Schwachstellen- und Risikomanagement in einer kohärenten Lösung – einer, die mit Ihren Daten wächst, bei Komponentenausfällen online bleibt und Ihnen die volle Sichtbarkeit erhält, ohne dass Sie für die Analyse von Daten zahlen, die keine benötigen.

Häufig gestellte Fragen (FAQ)

Was ist SecureVisio? SecureVisio ist eine integrierte SIEM-/UEBA-/SOAR-Plattform, die zusätzlich Asset-, Schwachstellen- und Risikomanagement vereint. Ihre Architektur trennt einen kostengünstigen Data Lake für die Speicherung von einer NG-SIEM-Schicht für die Analyse – Organisationen behalten die volle Sichtbarkeit und kontrollieren zugleich die Kosten.

Wie senkt die Trennung von Data Lake und NG-SIEM die SIEM-TCO? Sie entkoppelt die Speicherkosten von den Analysekosten. Der Großteil der Daten liegt kostengünstig im Data Lake im „Speichermodus“, und nur ausgewählter, relevanter Traffic wird vom NG-SIEM verarbeitet. Die Speicherkapazität skaliert linear, Rechenleistung kommt nur bei tatsächlichem Analysebedarf hinzu – die Kosten bleiben planbar, statt zu eskalieren.

Wie skaliert SecureVisio? Horizontal, durch das Hinzufügen autonomer Zone Collectors. Jeder verarbeitet typischerweise rund 18.000 EPS, fünf Collectors erreichen also etwa 90.000 EPS – auf physischen Servern, VMs oder in der Cloud. Wichtig: Die Suchgeschwindigkeit bleibt konstant – eine Abfrage bei 90.000 EPS ist so schnell wie bei 10.000 EPS.

Warum bleibt die Suche im Data Lake trotz niedriger Speicherkosten schnell? Dank spaltenorientierter Speicherung (es werden nur die benötigten Spalten gelesen), Zeitpartitionierung (es wird nur der relevante Zeitraum durchsucht), paralleler Verarbeitung über mehrere Knoten und einer Hot-Data-Ebene auf den schnellsten Medien. Die Suche nach einem String über eine Woche an Logs dauert im ungünstigsten Fall rund 10 Sekunden.

Was ist das Hot-/Warm-/Cold-Modell? Ein Tiering-Schema, das die Infrastrukturkosten an der Zugriffshäufigkeit ausrichtet: Hot für die neuesten Daten auf SSD/RAM, Warm für moderat genutzte historische Daten auf günstigeren Medien und Cold für Archivdaten auf sehr kostengünstigen Medien, die für Audits und Forensik verfügbar bleiben.

Wie unterstützt SecureVisio Hochverfügbarkeit? HA wird für Collectors und XDR-Agenten unterstützt, im Active-Active- oder Active-Passive-Modus. Der Collector Controller überwacht den Zustand, stellt Health-Check-Ports bereit, erkennt Ausfälle und schaltet den Traffic auf Standby-Instanzen um – autonom innerhalb der Plattform oder über einen externen Load Balancer.

Wie hilft SecureVisio bei der NIS2- und DORA-Compliance? Durch die Trennung von Log-Management und Analyse können Organisationen Logs lokal gemäß regionalen Vorschriften speichern und nur ausgewählte Ereigniskategorien zur Korrelation an einen zentralen Standort replizieren – Datenresidenz ohne Verlust der zentralen Sichtbarkeit. Kryptografisch geschützte Logs (Hash plus digitales Zertifikat) liefern zudem die Integrität und Nichtabstreitbarkeit, die Audits erfordern.