Security Data Pipeline Platforms (SDPP) bilden eine neue Produktkategorie im IT-Security-Markt, die sich gerade in der gewachsenen Welt der Security Operation Center (SOCs), Security-Information-and-Event-Management-Systeme (SIEMs), XDR-Plattformen (Extended Detection and Response) und moderner KI-Produkte für Security etabliert.

Das tägliche Volumen an Logs, Events, Traces, Netflows oder auch Threat Intelligence steigt stetig, immer mehr IT-Services, Cloud-Komponenten, Microservices und Sicherheitslösungen erzeugen solche Daten. Außer in der IT-Sicherheit benötigt man sie auch im Troubleshooting, im Netzwerkmanagement und weiteren Bereichen. Externe SOC-Dienstleister und SIEMs in der Cloud wie Microsoft Sentinel oder Google Chronicle vereinfachen die Situation nicht, sondern erhöhen die Komplexität weiter. Die frühere Idee, alle Logs und andere relevante Daten in ein einziges zentrales SIEM einzuliefern, hat sich in der Praxis nicht bewährt und kommt allein schon wegen der massiv steigenden Datenmenge an ihre Grenzen.

So findet man heute häufig mehrere Logempfänger und Logspeicher, die zum Teil dieselben, zum Teil unterschiedliche Daten verarbeiten, speichern und unterschiedlich lange aufbewahren. Allein in der IT-Sicherheit unterscheidet man zwischen den Daten, die zur Erkennung von Vorfällen wichtig sind und die meistens für viel Geld in einem SIEM gespeichert werden, und solchen, die nur zur späteren Analyse bereits erkannter Vorfälle relevant sind und in einem deutlich günstigeren Langzeitspeicher abgelegt werden. Moderne KI-Produkte, die im SOC die Analysten unterstützen sollen, benötigen ebenfalls Daten, bevorzugt in einem normalisierten Format.

Das war die Leseprobe unseres heise-Plus-Artikels "Security Data Pipelines für optimierte Sicherheitsdaten im Überblick". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.