Seminar Tenzir – Architektur- und Einsatzplanung

Eine Security-Data-Pipeline sollte nicht aus einzelnen Konnektoren heraus entstehen, sondern aus klaren Zielen, Verantwortlichkeiten und überprüfbaren Annahmen. Im Mittelpunkt stehen die strukturierte Auswahl von Use Cases, die Ist-Aufnahme der Datenflüsse, den Entwurf einer Zielarchitektur und die Planung eines kontrollierten Piloten.

Seminarziel

Nach dem Seminar liegt ein priorisiertes Einsatzbild mit Zielarchitektur, Pilotumfang, Rollen, Abnahmekriterien und nächsten Umsetzungsschritten vor.

Inhaltsübersicht

1. Kapitel 1: Ziele, Use Cases und Erfolgskriterien
2. Kapitel 2: Ist-Analyse der Datenflüsse
3. Kapitel 3: Zielarchitektur und Betriebsmodell
4. Kapitel 4: Bedrohungsmodell und Schutzbedarf
5. Kapitel 5: Pilotierung und Roadmap
6. Praxisübungen
7. Zielgruppe und Voraussetzungen

Kapitel 1: Ziele, Use Cases und Erfolgskriterien

1. Schritt 1: Fachliche und technische Ziele für Aufnahme, Normalisierung, Erkennung, Routing, Speicherung und Kostenkontrolle erfassen.
2. Schritt 2: Use Cases nach Sicherheitsnutzen, Datenverfügbarkeit, Integrationsaufwand und Dringlichkeit priorisieren.
3. Schritt 3: Muss-, Soll- und Kann-Anforderungen voneinander trennen und widersprüchliche Erwartungen sichtbar machen.
4. Schritt 4: Messbare Erfolgskriterien für Pilot, Abnahme, Übergabe und späteren Regelbetrieb festlegen.

Kapitel 2: Ist-Analyse der Datenflüsse

1. Schritt 1: Datenquellen, Formate, Volumina, Transportwege, Aufbewahrung und Zielsysteme vollständig inventarisieren.
2. Schritt 2: Medienbrüche, Mehrfachübertragungen, Qualitätsprobleme, Engpässe und kostentreibende Pfade markieren.
3. Schritt 3: Verantwortlichkeiten für Quellen, Schemas, Pipelines, Ziele und Störungsbehebung zuordnen.
4. Schritt 4: Schutzbedarf, Vertraulichkeit und regulatorische Grenzen je Datenklasse dokumentieren.

Kapitel 3: Zielarchitektur und Betriebsmodell

1. Schritt 1: Cloud-, Kubernetes-, On-Premises-, Edge- und abgeschottete Betriebsvarianten anhand der Anforderungen vergleichen.
2. Schritt 2: Streaming, Edge Storage, Security Data Lake und SIEM-Zuführung in einem konsistenten Datenlebenszyklus verbinden.
3. Schritt 3: Redundanz, Skalierung, Netzwerkzonen, Identitätsanbindung und Geheimnisverwaltung einplanen.
4. Schritt 4: Rollen für Entwicklung, Freigabe, Betrieb, Datenqualität, Detection Engineering und Revision definieren.

Kapitel 4: Bedrohungsmodell und Schutzbedarf

1. Schritt 1: Assets, Datenklassen, privilegierte Funktionen, Vertrauensgrenzen und potenzielle Angreifer identifizieren.
2. Schritt 2: Auswirkungen von Datenmanipulation, Datenabfluss, Ausfall und unbemerkter Regeländerung bewerten.
3. Schritt 3: Schutzmaßnahmen nach Risiko, Umsetzbarkeit und Kontrollierbarkeit priorisieren.
4. Schritt 4: Akzeptierte Restrisiken und kompensierende Kontrollen dokumentieren.

Kapitel 5: Pilotierung und Roadmap

1. Schritt 1: Einen überschaubaren Pilot mit repräsentativer Quelle, Transformation, Qualitätsprüfung und Zielsystem zuschneiden.
2. Schritt 2: Abhängigkeiten, Zugänge, Risiken, Testdaten, Abnahmeschritte und Entscheidungspunkte terminieren.
3. Schritt 3: Ein stufenweises Ausbauprogramm für weitere Quellen, OCSF, Enrichment, Sigma und Plattformbetrieb erstellen.
4. Schritt 4: Eine 30-, 60- und 90-Tage-Roadmap mit Verantwortlichen, Ergebnissen und Abbruchkriterien formulieren.

Praxisübungen

1. Übung 1: Ist-Landkarte eines Sicherheitsdatenflusses erstellen.
2. Übung 2: Zielarchitektur mit Vertrauenszonen entwerfen.
3. Übung 3: Pilot anhand einer Nutzwertmatrix priorisieren.
4. Übung 4: 30-, 60- und 90-Tage-Roadmap ausarbeiten.

Zielgruppe

IT- und Security-Architekten, SOC-Leitung, CISO-Organisation, technische Projektleitung, Plattformverantwortliche und Entscheider.

Voraussetzungen

Grundverständnis von Security Monitoring, Log- und Telemetriedaten sowie der vorhandenen Systemlandschaft. Praktische TQL-Kenntnisse sind nicht erforderlich.