Automatisierte Bedrohungsanalyse und -reaktion mit SOAR

SecureVisio SOAR ist kein isoliertes Automatisierungstool, sondern Teil einer einheitlichen Plattform. Dadurch werden Funktionen ermöglicht, für die bei klassischen Lösungen separate Produkte oder Integrationen erforderlich sind.

• SVBot und durch KI-Schlussfolgerungen gesteuerte Playbooks. Playbooks werden manuell oder autonom durch den Operator SVBot ausgeführt. In Version 6.0 kann ein Playbook-Schritt ein KI-Modell zur Bewertung der Situation abfragen – die weiteren Verzweigungen hängen von dessen Schlussfolgerungen ab. So ersetzt ein einziges Szenario Dutzende von Varianten, die sonst im Voraus erstellt werden müssten.
• Human-in-the-Loop gemäß Art. 22 DSGVO. Maßnahmen mit rechtlichen Auswirkungen – wie die Sperrung eines Kontos – erfordern eine menschliche Freigabe. Routineschritte werden automatisch ausgeführt, während kritische Entscheidungen unter menschlicher Kontrolle bleiben.
• Tiefgreifende bidirektionale Integration. SOAR arbeitet nativ mit CMDB, SIEM und CTI zusammen – ein Datenmodell, eine Benutzeroberfläche, ein Kommunikationskanal, ohne Integrationen zwischen Produkten verschiedener Anbieter.
• Made in Europe – kein Risiko durch den US CLOUD Act. Vorfalldaten werden ausschließlich in europäischer Infrastruktur verarbeitet. Bereitstellung On-Premises oder in einer Private Cloud in der EU.

SIEM und SOAR erfüllen unterschiedliche Aufgaben und ergänzen sich optimal.

• SIEM (Security Information and Event Management) sammelt, normalisiert und korreliert Log-Daten und generiert daraus Sicherheitsalerts. Der Schwerpunkt liegt auf Datenerfassung, Korrelation und Compliance – die native Reaktion beschränkt sich in der Regel auf die Alarmierung.
• SOAR (Security Orchestration, Automation and Response) setzt genau dort an: Es orchestriert die Reaktion über den gesamten Security-Stack hinweg und führt Playbooks aus – von der Blockierung des Netzwerkverkehrs bis zur Deaktivierung von Benutzerkonten.

SIEM erzeugt das Erkennungssignal, SOAR orchestriert die Reaktion. Auf der SecureVisio-Plattform sind SIEM und SOAR nativ miteinander verbunden – ohne Integrationsaufwand zwischen Lösungen verschiedener Anbieter.

Ja. SecureVisio SOAR ist in drei Bereitstellungsmodellen verfügbar:

• On-Premises – vollständige Installation in der Infrastruktur des Kunden. Die Daten verlassen die interne Umgebung nicht.
• Private Cloud in der EU – Bereitstellung in einem europäischen Rechenzentrum. Die Daten bleiben innerhalb der EU.
• Managed SOAR – von europäischen SecureVisio-Partnern verwaltete Plattform mit 24/7-Monitoring.

Organisationen aus den Bereichen KRITIS, Finanzwesen und Gesundheitswesen entscheiden sich für On-Premises oder eine Private Cloud in der EU, um die Anforderungen gemäß § 8a BSIG, Art. 44–49 DSGVO sowie interne Richtlinien zur Datenlokalisierung zu erfüllen.

Ja. SOAR adressiert insbesondere die Anforderungen an die Reaktion auf und die Behandlung von Sicherheitsvorfällen in zentralen regulatorischen Vorgaben:

• NIS2 (Art. 21 Abs. 2) – Behandlung von Sicherheitsvorfällen mit koordinierter, dokumentierter Reaktion und einem vollständigen Audit-Trail zur Erfüllung der Meldepflichten.
• IT-SiG 2.0 / § 8a BSIG – Systeme zur Angriffserkennung (SzA) für KRITIS. SOAR unterstützt durch Automatisierung eine zeitnahe Reaktion und die Umsetzung von Gegenmaßnahmen.
• BSI IT-Grundschutz (DER.1, DER.2.1) – dokumentierte, wiederholbare Reaktionsschritte gemäß IT-Grundschutz-Kompendium.

SOAR wird in der Regel gemeinsam mit SecureVisio SIEM eingesetzt: SIEM liefert das Erkennungssignal, SOAR orchestriert die dokumentierte Reaktion.

Art. 22 DSGVO gewährt das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden

Entscheidung unterworfen zu werden, wenn diese rechtliche oder ähnlich erhebliche Auswirkungen hat.

SecureVisio setzt hierfür auf einen Human-in-the-Loop-Ansatz (HITL): Routine- und Anreicherungsschritte – wie die Korrelation von Daten, die IoC-Anreicherung oder eine vorübergehende Eindämmung – werden automatisch ausgeführt.

Maßnahmen mit weitreichenden Auswirkungen, wie die dauerhafte Sperrung eines Kontos, erfordern eine ausdrückliche menschliche Freigabe im Playbook.

SVBot ist der virtuelle Operator von SecureVisio SOAR. Er führt Playbooks manuell oder automatisch aus und übernimmt dabei Aufgaben wie das Sammeln von Daten aus externen Wissensdatenbanken, die Analyse des ein- und ausgehenden Datenverkehrs sowie die Untersuchung der Aktivitäten von Benutzern und Hosts.

Dank der integrierten KI liefert SVBot dem Operator konkrete Handlungsempfehlungen. In den Playbooks der Version 6.0 bewerten Reasoning-Modelle die jeweilige Situation und bestimmen den nächsten Schritt – das Playbook verzweigt sich auf Grundlage der Schlussfolgerungen des Modells und nicht ausschließlich anhand vorab definierter Bedingungen.