Sicherheitsüberwachung für Windows-Netzwerke
Erkennt Angriffe früh, bewertet sie nach Schweregrad und meldet sie dort, wo Ihr Team arbeitet – komplett im eigenen Netz.
Ein klassisches SIEM ist für viele Unternehmen zu groß, zu teuer und zu aufwendig im Betrieb. ComSiem ist die schlanke Alternative: Ein Agent wertet die Windows-Ereignisprotokolle Ihres Netzes aus und meldet nur das, was wirklich nach einem Angriff aussieht.
Pilotphase – wir suchen Unternehmen und IT-Dienstleister, die ComSiem mit uns einsetzen
Das Basismodul Anmeldeschutz ist immer dabei, vier weitere Module sind zubuchbar.
Brute Force auf einzelne Konten, Passwort-Spraying über viele Konten, verteilte Angriffe von vielen Adressen und Anmeldeversuche mit nicht vorhandenen Konten – an Arbeitsplätzen, Servern und Domänencontrollern, für Kerberos und NTLM. Dazu ein Alarm, wenn ein Domänencontroller oder ein wichtiger Server keine Ereignisse mehr liefert, etwa weil die Weiterleitung ausgefallen ist.
Neue oder wieder aktivierte Konten, Aufnahme in privilegierte Gruppen – auch Ihre eigenen Admin-Gruppen –, Kontosperrungen und Kerberoasting-Versuche gegen Dienstkonten.
Gelöschte Sicherheitsprotokolle, neue Dienste, geplante Aufgaben und verdächtige PowerShell-Skripte. Typische Angreiferpfade und -werkzeuge werden höher eingestuft.
Funde und Aktionen von Microsoft Defender, abgeschalteter Echtzeitschutz und neu eingetragene Ausnahmen.
Änderungen im Active Directory, mit denen sich Angreifer festsetzen: Shadow Credentials, Delegierung, SID-Verlauf, DCSync-Rechte und geänderte Gruppenrichtlinien. Dazu das Abziehen der Kennwortdaten per DCSync, Anmeldungen von Admins per RDP oder übers Netz von einer neuen Quelle, Hinweise auf Pass-the-Hash und Pass-the-Ticket sowie Köderkonten: Konten, die niemand benutzt und deren Verwendung sofort einen kritischen Alarm auslöst.
Keine Cloud nötig: Außer zu Ihren Domänencontrollern verbindet sich der Agent nur mit Ihren eigenen Alarmwegen, also Mailserver und Teams. Geeignet auch für abgeschottete Netze.
Laufende Angriffe zählen im selben Alarm weiter, Wiederholungen werden gebündelt. Benachrichtigung je Meldungsart einstellbar, Ausnahmen für bekannte Admin-Werkzeuge mit Begründung und auf Wunsch mit Ablaufdatum.
Klartext zu Konten und Adressen geht nur an Ihre eigenen Alarmwege. Teams-Karten auf Wunsch nur mit Kennzeichen, Aufbewahrungsfristen einstellbar, Exporte werden protokolliert.
Dashboard, Alarme mit Verlauf, Anmeldefehler und Einstellungen an einem Ort. Anmeldung mit dem Windows-Konto, Zugriff nur für eine festgelegte Gruppe.
Installation per MSI, Einrichtungsassistent, kein eigener Datenbankserver. Der Installer richtet die Überwachung im Active Directory ein, die Konsole zeigt, welche Einstellungen in Windows noch fehlen.
Für Unternehmen mit Windows-Umgebung und IT-Dienstleister, die Kundennetze betreuen – ohne eigenes Sicherheitsteam rund um die Uhr.
ComSiem ist in der Pilotphase. Wenn Sie ComSiem in Ihrem Netz oder bei Ihren Kunden einsetzen möchten oder Fragen haben, schreiben Sie uns oder rufen Sie an.
