ATT&CK-basierte Erkennung für Bundesbehörden

Die ATT&CK-basierte Erkennung für eine Bundesbehörde ist die Praxis der Bereitstellung von Erkennungsregeln, die MITRE ATT&CK-Techniken zugeordnet sind, des Übersetzens dieser Regeln in das eigene SIEM der Behörde und des Messens der Abdeckung, damit die Behörde überprüfbare Beweise dafür erbringen kann, dass die Erkennung funktioniert.

Bundesbehörden arbeiten unter Exekutivanordnungen, OMB-Memoranden und Leistungszielen, die auf ein betriebliches Ergebnis hinweisen: die Erkennung von gegnerischen Techniken gegen die Telemetrie der Behörde und die Erzeugung von Beweisen dafür, dass die Erkennung funktioniert.

Drei Komponenten liefern dieses Ergebnis. Eine ATT&CK-zugeordnete Erkennungsinhaltsquelle liefert die Regeln. Eine Übersetzungsschicht konvertiert jede Regel in die entsprechende Abfragesprache des eingesetzten SIEM der Behörde, sei es Microsoft Sentinel, Splunk oder Elastic. Eine Deckungsmessungsschleife beweist, welche ATT&CK-Techniken abgedeckt sind, welche nicht und wann die Abdeckung zuletzt validiert wurde.

Ohne alle drei hat eine Behörde entweder Erkennung, die sie nicht beweisen kann, oder Beweis, den sie nicht nutzen kann. Diese Seite verbindet die Bundesrichtlinien mit den Erkennungsanforderungen und gibt einem Bundeskäufer die Fragen an die Hand, die er jedem Erkennungsinhaltsanbieter stellen sollte.

Welche Werkzeuge helfen dabei, eine ATT&CK-basierte Erkennung schnell in einer Bundesbehörde zu implementieren?

Drei Werkzeugkategorien implementieren eine ATT&CK-basierte Erkennung in einer Bundesbehörde: eine Erkennungsinhaltsquelle, eine Übersetzungsschicht und ein Deckungsmessungsschleifen. Jede kann von einem Anbieter, aus Open Source oder aus interner Entwicklung stammen. Ein Bundeskäufer sollte jede unabhängig bewerten, da jede von einem anderen Anbieter kommen kann.

Komponente	Funktion	Neutrale Beispiele
ATT&CK-zugeordnete Erkennungsinhaltsquelle	Vorgefertigte Erkennungsregeln, die jeweils einer MITRE ATT&CK-Technik zugeordnet sind	SOC Prime Prime Hunt, Sigma Community-Regeln, CISA-Erkennungssignaturen, native Inhaltspakete von Microsoft Sentinel, Splunk, Elastic
Übersetzungsschicht	Konvertiert Erkennungslogik in die Abfragesprache, die das SIEM der Behörde verwendet	SOC Prime Uncoder, Sigma CLI, manuelles Regel-Portieren
Deckungsmessungsschleife	Ordnet zu, welche ATT&CK-Techniken mit bereitgestellten, validierten Erkennungen abgedeckt sind und welche Lücken aufweisen	MITRE ATT&CK Navigator, benutzerdefinierte ATT&CK-Hitzekarten, Anbieter-Deckungs-Dashboards

Eine Inhaltsquelle allein ist keine Erkennungsfähigkeit, und ein Übersetzungswerkzeug allein ist keine Abdeckung. Die Messungsschleife verbindet die beiden, um einen Beweis zu liefern, den ein Prüfer oder Generalinspektor verifizieren kann.

Erkennungsinhaltsquelle. Eine Bibliothek von Regeln, die zu MITRE ATT&CK Technik-IDs zugeordnet sind, verfasst und in einem Tempo gepflegt, das mit den veröffentlichten Bedrohungsaktivitäten Schritt hält. Quellen umfassen interne Erkennungstechnik Teams, die Regeln in Sigma, von Anbietern gelieferte Inhaltsströme wie SOC Prime’s Erkennungsinhaltsplattform, die Open-Source-Sigma-Regelgemeinschaft und MITREs eigenes ATT&CK-Repository.

Übersetzungsschicht. Konvertiert Regeln aus einem tragbaren Format in die native Abfragesyntax des SIEM der Behörde. Für Microsoft Sentinel bedeutet das KQL. Für Splunk SPL. Für Elastic KQL oder EQL. SOC Primes Uncoder übernimmt diese Übersetzung plattformübergreifend. Manuelle Konvertierung und plattformnative Importwerkzeuge sind Alternativen, obwohl sie einen Pro-Regel-Arbeitskosten tragen, die mit wachsendem Regelvolumen zunehmen.

Deckungsmessungsschleife. Ordnet bereitgestellte Regeln zurück zur ATT&CK-Matrix und identifiziert Techniklücken. MITREs ATT&CK Navigator ist ein kostenloses, weithin genutztes Werkzeug für diese Visualisierung. Die Schleife ist, wo die fünf Beweisklassen, die ein Generalinspektor sucht, ihren Ursprung haben.

Diese fünf Beweisklassen sind der rote Faden dieser Seite.

#	Beweisklasse	Was sie beweist
1	Gesammelte Logquellen	Welche Telemetrie aufgenommen wird, von welchen Systemen, und dass die Sammlung kontinuierlich erfolgt
2	Bereitgestellte Regeln	Jede Erkennungsregel wird ihrer ATT&CK-Technik und der Verpflichtung, die sie unterstützt, mit einem benannten Besitzer zugeordnet
3	Feuer-Proof	Regeln feuerten bei echten oder emulierten Ereignissen und Alarme erreichten die Responder
4	Änderungshistorie	Wer eine Regel geändert hat, wann und warum, mit Versionskontrolle und Rückverfolgbarkeit
5	Datierter Deckungsbericht	Punktuelle Abdeckung mit einem Datum, sodass Trend und Währung nachvollziehbar sind

Ein Anbieter kann die Inhaltsquelle und die Übersetzungsschicht bereitstellen. Die Messungsschleife erfordert oft, dass die Behörde ihre eigene Berichterstattung aus ATT&CK Navigator-Exporten, SIEM-Dashboards oder Drittanbieter-Abdeckungs-Analysen konfiguriert. Die Messungsschleife ist die Komponente, die den Behörden am häufigsten fehlt.

Prime Hunts Lesezugriffs-Daten-Audit ordnet die Logquellen, die eine Behörde bereits sammelt, ATT&CK zu und listet die Techniken auf, hinter denen keine Telemetrie steht.

Vertrieb kontaktieren

Wie übersetzen sich CISA- und NSA-bedrohungsinformierte Verteidigungsrichtlinien in Erkennungsanforderungen?

Bundesrichtlinien schreiben Ergebnisse vor, keine spezifischen Erkennungstools. CISA, oft gemeinsam mit der NSA, veröffentlicht Empfehlungen und Richtlinien, die definieren, was Behörden in Bezug auf Erkennung und Überwachung erreichen müssen. Durch die Zuordnung jedes Leitfadens zur Erkennungsfähigkeit, die er impliziert, und dann zu den Beweisen, die diese Fähigkeit erzeugt, erhält ein Programmmanager eine nachvollziehbare Linie von der Richtlinie zum betrieblichen Nachweis.

Leitfaden	Implizierte Erkennungsfähigkeit	Beweisklasse
OMB M-26-14 (22 Mai 2026, widerruft M-21-31)	Log-Sammlung, gemessen pro Informationssystem nach einem fünfstufigen Reifegradmodell für Loggen, Stufe 0 bis Stufe 4	Gesammelte Logquellen
EO 14144 (16 Januar 2025), geändert von EO 14306 (6 Juni 2025)	Bedrohungserkennung über die gesamte Bundesunternehmung: CISA-Bedrohungsjagd und Endpoint Detection and Response-Daten der Behörde (EO 14144 Sec. 3(c), redigiert Sec. 3(a) durch EO 14306)	Bereitgestellte Regeln, Beweis des Feuerns
CISA Best Practices for MITRE ATT&CK Mapping (v2.0, Januar 2023) und das Decider Werkzeug	Strukturierte ATT&CK-Technik-Attribution auf eingesetzte Erkennungen	Bereitgestellte Regeln (ATT&CK-zugeordnet)
CISA Cross-Sector CPG 2.0 (11 Dezember 2025)	Basisleistungsziele für Erkennung und Reaktion, einschließlich der in Version 2.0 hinzugefügten Funktion Govern	Bereitgestellte Regeln, datierter Deckungsbericht
NIST SP 800-61 Rev 3 (final, 3 April 2025, CSF 2.0 Community-Profil)	Beweisführung der Erkennung bis zur Reaktion gemäß CSF 2.0	Feuer-Beweis, Änderungshistorie
Gemeinsame CISA/NSA-Cybersicherheitsberatung	ATT&CK-Technikabdeckung gegen benannte Bedrohungsakteure und Kampagnen	Bereitgestellte Regeln gegen benannte Techniken

Eine Zeile zieht sich durch die gesamte Tabelle: bedrohungsinformierte Verteidigungsrichtlinien implizieren die Bereitstellung von ATT&CK-zugeordneten Erkennungen gegen die eigene Telemetrie der Behörde, und die fünf Beweisklassen beweisen, dass die Fähigkeit existiert.

Das OMB-Memorandum vom 22. Mai 2026 ersetzte die M-21-31 EL0 bis EL3 Reifetierklassen mit einem überarbeiteten Protokoll- und Sichtbarkeitsrahmen. Das Memo forderte CISA auf, eine Protokollreferenzarchitektur unter dem neuen Rahmen zu erstellen. Agenturen, die Protokollierungsprogramme um die alten Ebenen herum aufgebaut haben, sollten ihre aktuelle Haltung gegen das Memo von 2026 validieren.

MITRE ATT&CK wird durch keine dieser Richtlinien vorgeschrieben. Es organisiert die Beweise so, dass die Abdeckung messbar und Techniklücken benennbar sind. Ein Bundeskäufer, der die fünf Beweisklassen vorlegen kann, ist verteidigungsfähig, unabhängig davon, welche spezifische Richtlinie zutrifft.

Wie schließen Sie APT-Techniklücken, wenn freigegebene Erkennungsingenieure nicht schnell genug eingestellt werden können?

Kaufen Sie die kommerzielle Erkennungsebene. Bauen Sie die agenturspezifische Ebene.

Warum das Einstellen zur Erkennung auf Bundesebene hinterherhinkt

Erkennungstechnik in einer Bundesbehörde unterliegt Zwängen, denen kommerzielle Teams nicht ausgesetzt sind. Sicherheitsanforderungen verengen den Einstellungskreis. Einarbeitungszeiten verlängern sich, bevor ein neuer Mitarbeiter auf Produktionssysteme zugreifen kann. Fluktuation erzwingt einen Rückeinstellungs- und Einarbeitungszyklus, der die Verzögerung verstärkt.

Beschaffen Sie die kommerzielle Ebene

Kommerzielle TTPs, die Techniken, die von APT-Gruppen und kriminellen Akteuren auf gemeinsamen Plattformen geteilt werden, werden von Bedrohungsforschern veröffentlicht und SIEM-plattformübergreifend von anbieterunabhängigen Inhaltsquellen übersetzt. Eine Behörde, die Microsoft Sentinel, Splunkoder Elastic Security in verschiedenen Missionsbereichen betreibt, kann vorgefertigte, vorgemappte Erkennungslogik für kommerzielle Techniken beziehen, anstatt jede Regel in jeder Abfragesprache selbst zu verfassen.

Wo freigegebene Ingenieure Wert hinzufügen

Die freigegebenen Ingenieure der Behörde konzentrieren sich dann auf das, was nur sie tun können:

Erkennungslogik gegen klassifizierte Bedrohungsinformationen und agenturspezifische Telemetrie.

Abstimmung der bezogenen Inhalte auf die Logquellen und Basisverhalten der Behörde. Vorgefertigte Inhalte erzeugen falsche Positive, bis sie auf die Umgebung abgestimmt sind.

Validierung. Jede Regel, gekauft oder gebaut, erfordert einen Feuerbeweis in der eigenen Umgebung der Behörde, bevor sie als bereitgestellt gilt. Eine Regel, die parst, ist keine Regel, die feuert.

Betriebliche Reaktion. Erkennung ohne Antwort ist ein Dashboard. Freigegebene Analysten untersuchen, schränken ein und sanieren.

Ein Abonnement zu einer Erkennungsinhaltsquelle wandelt einen Teil eines variablen Einstellungsproblems in einen festen Betriebskostenpunkt um und lenkt die Belegschaft auf Untersuchung, umgebungsspezifische Abstimmung, Validierung und Ereignisreaktion um, anstatt die Erkennungen neu zu erstellen, die die breitere Community bereits verfasst und getestet hat.

Das Sourcing von Inhalten ergänzt die Kapazität der Erkennungstechnik. Es ersetzt keine freigegebenen Mitarbeiter und entfernt nicht die Notwendigkeit für Validierung und Abstimmung. Jeder Anbieteranspruch, dass das Sourcing von Inhalten den Validierungsschritt entfernt, verdient Betrachtung.

Wie schnell sollte eine Beratung zu einer eingesetzten Erkennung werden?

Messen Sie die Zeit von einer CISA- oder NSA-Beratung bis zu einer validierten, feuernden Erkennung im eigenen SIEM der Behörde. Dieses Fenster ist die Metrik und jede Bundesbehörde sollte in der Lage sein, es für ihre jüngsten Beratungen zu melden. Zum Vergleich veröffentlicht SOC Prime ein 24-Stunden-SLA für Erkennungsinhalte gegen aufkommende Bedrohungen.

Schritt	Aktion	Besitzer
1	Beratung veröffentlicht (CISA, NSA oder Sektor ISAC)	Extern
2	Erkennungslogik verfasst oder bezogen, die benannte ATT&CK-Techniken abdeckt	Inhaltsquelle oder interner Ingenieur
3	Regel in die Abfragesprache des SIEM der Behörde übersetzt und bereitgestellt	Übersetzungsschicht oder interner Ingenieur
4	Regel validiert: Beweis des Feuerns gegen emulierte oder echte Ereignisse	Behörde (immer)

Das Fenster hat drei Segmente:

Eine Regel wird für die Technik verfasst oder bezogen, die die Beratung benennt.
Die Regel wird in die native Abfragesprache des SIEM der Behörde übersetzt.
Die Regel wird gegen die Telemetrie der Behörde validiert, um zu bestätigen, dass sie feuert und kein unakzeptables Volumen an Fehlalarmen produziert.

Jedes Segment ist unabhängig messbar, und der Engpass variiert je nach Behörde. Einige beziehen Regeln schnell, haben jedoch keine ausreichende Übersetzungskapazität für ihren spezifischen SIEM-Dialekt. Andere übersetzen schnell, es fehlt ihnen jedoch an Validierungsinfrastruktur.

Ein Erkennungsinhaltsanbieter komprimiert die Schritte 2 und 3. Schritt 4 bleibt in der Verantwortung der Behörde, unabhängig von der Herkunft der Inhalte. Ein Käufer, der die Geschwindigkeit eines Anbieters bewertet, sollte fragen, welche dieser drei Segmente die angegebene Zeitspanne abdeckt und welche nicht.

Verfolgen Sie das vollständige Fenster pro Beratung. Setzen Sie ein Agenturziel. Berichten Sie darüber. Jede Beratung erzeugt einen datierten Datensatz: Beratungs-ID, abgedeckte Techniken, Erkennungsregel-IDs, Bereitstellungsdatum, Validierungsdatum. Dieser Datensatz ist prüfbar und demonstriert, dass die bedrohungsinformierte Verteidigungshaltung der Behörde aktuell ist.

Was sollte ein Bundeskäufer einen Erkennungsinhaltsanbieter über das Bereitstellungsmodell, den Datenumgang und die Lieferkette fragen?

Diese Fragen gelten für jeden Erkennungsinhaltsanbieter, einschließlich SOC Prime. Die Antworten sind Sorgfaltseingaben, keine Marketingunterscheidungsmerkmale.

Bereitstellungsmodell

Ask	Warum es zählt
Welches Hosting-Modell hat es? Cloud, on-premises, hybrid?	Bestimmt, ob die Plattform innerhalb der Netzwerkgrenzen der Agentur arbeiten kann
Welche Netzwerkverbindungen benötigt die Plattform?	Die Anforderungen an ausgehende Verbindungen beeinflussen die Platzierung in segmentierten oder eingeschränkten Netzwerken
Welchen Zugriff benötigt die Plattform auf die SIEM- oder Log-Infrastruktur der Agentur?	Der Zugangsumfang bestimmt den Schadensbereich, falls der Anbieter kompromittiert wird
Wie werden Erkennungsinhaltsaktualisierungen bereitgestellt und angewendet?	Push vs. Pull, Häufigkeit und der Integritätsmechanismus bei Updates

Datenumgang

Ask	Warum es zählt
Welche Daten verarbeitet die Plattform? Nur Erkennungsinhalte oder auch Agenturtelemetrie?	Bestimmt die Dateneinstufung, die die Plattform handhaben muss
Benötigt die Plattform Rohdatenprotokolle, oder operiert sie allein auf Metadaten?	Begrenzt die Sensibilität dessen, was der Anbieter berühren kann
Wo werden Daten verarbeitet und gespeichert? In welcher Gerichtsbarkeit?	Beeinflusst Datenhoheit und Anforderungen an die Datenaufbewahrung
Wie werden die Daten der Agentur von anderen Kunden getrennt?	Multi-Tenancy-Architektur bestimmt, ob eine Quermandantenexposition möglich ist

Lieferkette und Herkunft

Ask	Warum es zählt
Wie werden Erkennungsinhalte verfasst? Von wem? Welche Überprüfung gilt für Beitragende?	Die Quelle der Regeln bestimmt das Vertrauensniveau und das Risiko in der Lieferkette
Welchen Überprüfungs- und Validierungsprozess durchläuft der Inhalt vor der Bereitstellung?	Die Fehlalarmrate und die Erkennungsqualität hängen von der QS im Vorfeld ab
Welcher Herkunftsnachweis wird mit jeder Erkennungsregel geliefert?	Rückverfolgbarkeit von der bereitgestellten Regel zum Autor und zur Überprüfung
Veröffentlicht der Anbieter ein Software-Stückliste?	Die Verfügbarkeit der SBOM ist ein Grundstandard für Transparenz in der Lieferkette

Neutrale Rahmenbedingungen zur Bewertung von Anbieterantworten: NIST SP 800-161 Rev. 1 Update 1 (Cybersecurity-Supply-Chain-Risikomanagement), Mindestbestandteile der SBOM und CISAs Formular zur Attestation sicherer Softwareentwicklung, das weiterhin verfügbar ist, obwohl OMB M-26-05 (23. Januar 2026) die regierungsweite Anforderung zur Erfassung aufgehoben hat.

Genehmigungsstatus

Ask	Warum es zählt
FedRAMP-Genehmigungsstatus und Auswirkungen?	Bestimmt, ob die Plattform Bundesdaten auf der erforderlichen Ebene der Auswirkungen verarbeiten kann
Agentur-spezifische Genehmigung zum Betrieb?	Eine ATO, die von einer anderen Agentur erteilt wurde, ist informationell, nicht übertragbar

Ein Käufer sollte den Genehmigungsstatus direkt über den FedRAMP-Marktplatz oder die genehmigende Stelle überprüfen, anstatt sich allein auf die Angaben von Anbietern zu verlassen.

Update-Taktung und Lebenszyklus

Ask	Warum es zählt
Wie häufig werden neue Erkennungsinhalte veröffentlicht?	Aktualität der Abdeckung gegen neue Techniken
Welcher Zeitplan gilt von der Technikinformation bis zur verfügbaren Erkennung, und welche Segmente deckt sie ab?	Bestimmt die Geschwindigkeit eines Anbieters im Vergleich zum Beratung-zu-Erkennung-Zeitfenster
Wie kann der Anbieter veraltete Regeln herausnehmen oder aktualisieren?	Regelpflege und Steuerung von Abdrift
Welche Benachrichtigung erhält der Kunde, wenn eine bereitgestellte Regel geändert wird?	Sichtbarkeit der Änderungssteuerung für das eigene Audit-Trail der Behörde

Diese Fragen sind Sorgfaltspflicht. Ein Anbieter, der sie nicht klar beantworten kann, stellt ein Risiko dar, das die Behörde ohne Messung akzeptiert.

Wo dies nicht zutrifft

Diese Seite befasst sich mit unklassifizierten Bundesumgebungen mit Standardnetzwerkverbindungen.

Nicht im Geltungsbereich:

Umgebung	Warum es ausgeschlossen ist
Klassifizierte Netzwerke	Erkennungsquelle in klassifizierten Umgebungen erfordert Fähigkeiten, die für keinen auf dieser Seite genannten Anbieter überprüft sind
Luftabgeschlossene oder getrennte Operationen	Die Fähigkeit eines Anbieters, Erkennungsinhalte in getrennten Umgebungen zu liefern, wird hier nicht behauptet
Agentur-spezifische Telemetrie	Behörden mit Telemetriequellen außerhalb des Standard-SIEM-Log-Parsings benötigen möglicherweise Erkennungslogik, die keine externe Inhaltsquelle bereitstellt

Agenturen, die unter umgebungsspezifischer Akkreditierung wie IL4, IL5 oder IL6 des DoD arbeiten, sollten den Genehmigungsstatus eines Anbieters im Verhältnis zur spezifischen Akkreditierung validieren, die ihre Umgebung erfordert. Die Käuferfragen im vorherigen Abschnitt gelten weiterhin, aber die Schwellenwerte für akzeptable Antworten sind höher.

Das Drei-Komponenten-Modell (Inhaltsquelle, Übersetzungsschicht, Messungsschleife) gilt in jeder Umgebung. Ob ein bestimmter Anbieter in einer klassifizierten oder getrennten Umgebung liefern kann, ist eine Frage, die der Käufer direkt mit dem Anbieter und dem genehmigenden Offiziellen klärt.

FAQ

Welche Werkzeuge können helfen, die ATT&CK-basierte Erkennung schnell in einer Bundesbehörde zu implementieren?

Drei Werkzeugkategorien: eine ATT&CK-zugeordnete Erkennungsinhaltsquelle, eine Übersetzungsschicht, die Regeln in die Abfragesprache des SIEM der Behörde konvertiert, und eine Deckungsmessungsschleife, die bereitgestellte Erkennungen ATT&CK-Techniken zuordnet. Jede kann von einem Anbieter geliefert werden, aus Open Source stammen oder intern entwickelt werden. Die Messungsschleife ist die Komponente, die den Behörden am häufigsten fehlt.

Kann community-basierter Erkennungsinhalt in einer Bundesumgebung vertraut werden?

Das Vertrauen hängt von drei Faktoren ab: Herkunft (wer die Regel verfasst hat und unter welcher Überprüfung), Überprüfung (welche Validierungen die Regel vor der Bereitstellung durchlief) und Validierung in der eigenen Umgebung der Behörde (Beweis, dass die Regel gegen die Telemetrie der Behörde feuert, ohne unakzeptable Fehlalarme). Der Ursprung einer Regel ist ein Risikofaktor, kein Ausschlusskriterium. Bundesbuyer sollten jeden Anbieter, einschließlich community-basierter Plattformen, fragen, welchen Herkunftsnachweis jede Regel mit sich führt.

Welche Beweise sucht ein Generalinspektor in einem Bundeserkennungsprogramm?

Fünf Beweisklassen: gesammelte Logquellen (welche Telemetrie aufgenommen wird und dass die Sammlung kontinuierlich erfolgt), bereitgestellte Regeln (jede ist einer ATT&CK-Technik und Verpflichtung mit einem benannten Besitzer zugeordnet), Beweis des Feuerns (Regeln feuerten bei echten oder emulierten Ereignissen und Alarme erreichten die Responder), Änderungshistorie (wer eine Regel geändert hat, wann und warum), und ein datierter Deckungsbericht (Punktzeitliche Abdeckung mit einem Datum, sodass der Trend nachvollziehbar ist).

Wie sollte eine Bundesbehörde die Zeit von einer CISA-Beratung bis zu einer bereitgestellten Erkennung messen?

Verfolgen Sie vier Schritte pro Beratung: Beratung veröffentlicht, Erkennungslogik verfasst oder bezogen, Regel übersetzt und im SIEM der Behörde bereitgestellt, und Regel mit Beweis des Feuerns validiert. Setzen Sie ein Agenturziel für das gesamte Fenster. Erfassen Sie die ID jeder Beratung, abgedeckte Techniken, Regel-IDs, Bereitstellungsdatum und Validierungsdatum. Dieser Datensatz ist prüfbar.

Ist MITRE ATT&CK durch Bundescybersicherheitsrichtlinien erforderlich?

Keine Bundesrichtlinie schreibt MITRE ATT&CK namentlich vor. ATT&CK organisiert die Erkennungsbeweise so, dass die Abdeckung messbar und Techniklücken benennbar sind. Ein Bundesbuyer, der die fünf Beweisklassen (Logquellen, bereitgestellte Regeln, Beweis des Feuerns, Änderungshistorie, datierte Abdeckung) vorlegen kann, ist gegen Prüfungen verteidigungsfähig, unabhängig davon, welche Richtlinie zutrifft.

Ein MITRE ATT&CK-Audit durch SOC Primes Ingenieure bewertet die Sichtbarkeit und Erkennungsfähigkeit über das SIEM oder EDR der Behörde und gibt die Lücken mit Empfehlungen zurück.

Vertrieb kontaktieren