22 www.net-im-web.de 6-7/2026 SIEM versus XDR versus NDR lesbare Form (Normalisierung) und indiziert sie. So stehen konsolidierte Informationen für Suchabfragen, Mustererkennung und Korrelationsanalyse zur Verfügung. Die Leistungsmerkmale eines SIEM-Systems lassen sich wie folgt zusammenfassen: • Registrierung und zentrale Sammlung aller sicherheitsrelevanten Vorgänge • Umfangreiche Suchfunktion, Mustererkennung und Korrelationsanalysen sorgen für eine ganzheitliche Sicht auf die IT-Sicherheit • Vordefinierte Handlungsanweisungen zur schnellen und effizienten Reaktion auf typische Sicherheitsvorfälle (Playbooks) Als typische Herstellerbeispiele im SIEMBereich lassen sich nennen: ArcSight, Exa- beam, LogPoint, LogRhythm, IBM QRadar, Wazuh, Elastic Inc. und Splunk. SOAR-Systeme stehen hingegen für den Sammelbegriff von IT‑Sicherheitslösungen, die Orchestrierung, Automatisierung und Koordination von Incident‑Response‑Prozessen in einer einheitlichen Plattform verbinden. Dabei wird ein Case in einer SOAR-Plattform automatisch angelegt, wenn ein Alarm von beispielsweise einem SIEM-System erzeugt wird. Anschließend wird ein Kontext zum Vorfall hergestellt und über Threat Intelligence APIs (zum Beispiel MISP, VirusTotal, OpenCTI) ein Anreichern der Informationen (Enrichment) vorgenommen. Das Analyse-Playbook entscheidet dann, ob beispielsweise der Hash als Malware bekannt ist und ob der Vorfall als kritisch eingestuft werden muss. Anschließend kommt es bei einem positiven Befund zu automatisierten Aktionen, die das betroffene Endgerät in die Quarantäne schieben, die IP-/Domain-Adresse blockieren, das Netzwerk isolieren und das SOC-Team benachrichtigen können. Jeder Schritt wird in einem Case-Log festgehalten, der auch einen exakten Zeitstempel enthält und ausführliche Ergebnisdaten. Abschließend wird ein Abschlussbericht erzeugt und die vorhandenen Playbooks entsprechend angepasst. Im Gegensatz zu einem SIEMSystem, welches oftmals ähnliche Aufgaben wahrnimmt, werden bei einem SOAR die Routineaufgaben automatisiert, wodurch die Fachkräfte entlastet werden und sich auf die komplexeren Aufgabenstellungen konzentrieren können. Vollständige, nachvollziehbare Protokolle erleichtern die Compliance-Prüfungen und das Auditieren nach DSGVO oder ISO 27001. Typische Hersteller im SOAR-Umfeld sind: Palo Alto Networks mit Cortex XSOAR / XSIAM, Splunk mit Splunk SOAR, IBM mit QRadar SOAR, Microsoft mit Microsoft Sentinel, Google mit Google Chronicle SOAR / Google SecOps und Rapid7 mit InsightConnect. Typische Auswahlkriterien bei SOAR-Systemen sind: • Integrationen zu SIEM-/EDR-/CloudDiensten • Playbook-Automatisierung • Low-Code-/No-Code-Workflows • Case-Management • KI-gestützte Analyse und Incident Response • Cloud- versus On-Prem-Betrieb • MSSP-/Mandantenfähigkeit Fazit Es gibt sehr unterschiedliche Sicherheitssysteme am Markt, die das Sammeln von Informationen und Ereignissen ermöglichen, um Bedrohungen zu erkennen und dadurch auf Schwachstellen reagieren zu können. Hier wurden daher EDR, XDR, SIEM und SOAR exemplarisch dargestellt. Der Markt verschiebt sich dabei aktuell stark in Richtung integrierter Plattformen, das heißt SIEM, XDR und SOAR werden in einem Produkt angeboten. Die bekanntesten Hersteller zeigt dabei die Tabelle 1. Neuere Anbieter (zum Beispiel Torq, D3 Security, 7AI, Radiant Security) setzen verstärkt auf KI-gestützte Automatisierung und KI-basierte SOC-Ansätze. Es wird daher immer schwieriger, zwischen den Systemen eine klare Trennung vorzunehmen. Einsetzen lassen sich aber alle mit gutem Gewissen. Der Markt verschiebt sich aktuell stark in Richtung integrierter Plattformen, das heißt SIEM, XDR und SOAR werden in einem Produkt angeboten. Die Tabelle zeigt eine Auswahl bekannter SOAR-Hersteller im Vergleich
RkJQdWJsaXNoZXIy MjE2Mzk=