Security Hub

Zweck und Übersicht des Hubs

Der Security Hub ist der Dachbereich der operativen Sicherheit: SOC (Triage und Bearbeitung von Sicherheits-Alerts und -Incidents), XDR (domänenübergreifende Korrelation und Threat Hunting), Schwachstellen-Management, PAM (Privileged Access Management), SecOps-Administration (SOAR: Scoring, Genehmigungen, Rollback) und Sicherheits-Reporting. Die Tickets des Bereichs (Familie SOC-*) unterliegen höchster Vertraulichkeit: Einige Typen (z. B. SOC-INCIDENT) sind nur für die SOC-Analysten und den CISO des Tenants sichtbar.

Die Seite behandelt die Landing Page, die operativen Konsolen (SOC L1, XDR), das Vulnerability Cockpit, die fünf PAM-Seiten und die PAM-Konsole, SecOps Admin, das Security Report Center und das Agent Monitoring. GRC/ICC und die Ansichten der SOC/XDR-Direktoren werden erwähnt, aber auf den jeweiligen Seiten beschrieben (GRC, Risiko, Compliance und Recht, Cockpits und Leitungsansichten, Customer Service, Enterprise Service und ICC).

Landing Page des Security Hub

Wozu es dient. Der Einstiegspunkt in die Sicherheit: Hier finden Sie die Kacheln zu SOC, XDR, Schwachstellen, PAM, SecOps Admin, Reporting und den verknüpften Bereichen (GRC, ICC).

Wann Sie es verwenden. Zu Beginn Ihrer Sicherheitssitzung, um den Arbeitsbereich auszuwählen.

Wie Sie es öffnen. Über die Home von Core (Kachel Security Hub) oder über den Security Hub aus einem anderen Kontext.

Was es anzeigt. Die Kacheln führen zu: SOC L1, XDR, Schwachstellen, PAM, SecOps Admin, IT Security Report Center, KB Domäne SOC, GRC, ICC, Operations Cockpit im Scope Sicherheit, Agent Control Tower im Scope Security, CMDB mit Sicherheitsfokus, ITOM mit Sicherheitsfokus sowie den Ansichten der Direktoren SOC/XDR/GRC/ICC.

Wie Sie es bedienen. Klicken Sie auf die Kachel des gewünschten Bereichs; welche Kacheln sichtbar sind, hängt von Ihrer Rolle ab (Profile SOC, XDR, SECHUB usw.).

Was danach passiert. Sie gelangen zur gewählten Seite bzw. Konsole, der Kontext wird übernommen.

Hinweise. Die Sichtbarkeit ist besonders eingeschränkt: Viele Inhalte erfordern SOC/CISO-Rollen.

SOC L1, Triage von Sicherheits-Alerts

Wozu es dient. Die operative Konsole des SOC: Sie sammelt die Alerts aus den SIEM-Systemen (per Webhook) und steuert deren Triage L1→L2→L3 bis zu den bestätigten Incidents. Sie verwendet dieselbe Layout-Engine wie die IT-Konsole mit der Domäne SOC.

Wann Sie es verwenden. Es ist der Arbeitsplatz des SOC-Analysten für Triage und Bearbeitung von Alerts und Incidents.

Wie Sie es öffnen. Über die Landing Page des Security Hub, Kachel SOC L1.

Was es anzeigt. Das Layout mit drei Bereichen (Queue · Detail · Werkzeuge) mit automatischer Aktualisierung und Filtern. Die KPI-Leiste für L1: Aktive Alerts, Triaged in der letzten Stunde, FP-Rate (False Positives), SLA Triage, Eskalation L2. Die Schnellaktionen L1: Mir zuweisen, Escalate L2, ✓ True Positive, False Positive.

Beim Wechsel in die höheren Tiers (L2/L3, Analyse/IR) ändern sich KPIs und Aktionen: KPIs Open cases, Breaches, Aktive Hunts, PIR pending, IOC ingested; Aktionen Take over, Escalate L3, Isolate host, Block IOC, IR Playbook. Das SOC-KPI-Dashboard lässt sich als Modal öffnen („SOC L1 Dashboard“).

Wie Sie es bedienen. Sie führen die Triage der Alerts (SOC-ALERT) durch und klassifizieren sie als True/False Positive; ein bestätigter Alert wird zum SOC-INCIDENT hochgestuft (höchste Vertraulichkeit, PIR verpflichtend). Sie bearbeiten Phishing-Meldungen (SOC-PHISH, auch über das Benutzerportal anlegbar) und Malware-Alerts (SOC-MALWARE). Die Eindämmungsaktionen (Isolate host, Block IOC) lösen die SOAR-Remediations aus.

Was danach passiert. „True Positive“ startet Eskalation bzw. Incident; „Isolate/Block“ führen Reaktionsmaßnahmen aus (vorbehaltlich der SOAR-Schutzschranken); jede Aktion wird protokolliert und gemeldet.

Hinweise. Die sensibelsten Remediation-Aktionen (z. B. execute_script) sind durch mehrere Schutzschranken gesichert (siehe SecOps Admin). Die Sichtbarkeit der Incidents ist auf SOC/CISO beschränkt.

XDR Ops

Wozu es dient. XDR (eXtended Detection & Response) liefert die domänenübergreifende Korrelation von Bedrohungen sowie Werkzeuge für proaktives Hunting, Threat Intelligence und den Austausch mit Herstellern.

Wann Sie es verwenden. Für die korrelierte Analyse von Signalen aus mehreren Quellen, Hunting-Kampagnen, die Verwaltung von IOCs und Executive Briefings zu Bedrohungen.

Wie Sie es öffnen. Über die Landing Page des Security Hub, Kachel XDR.

Was es anzeigt. Eine Konsole, gegliedert in Unteransichten (Startansicht: Correlation), jede mit KPIs, Tabellen und Tabs:

Unteransicht	Inhalt
Correlation	Domänenübergreifende Korrelation der Signale
Threat Intel	IOCs und Intelligence (SOC-THREAT-INTEL: TLP, Confidence, CVE, Threat Actor, Ablaufdatum)
Unified Timeline	Einheitliche Timeline der Ereignisse
Executive Brief	Executive-Zusammenfassung der Bedrohung
Escalation	Verwaltung der Eskalationen
Lessons Learned	Erkenntnisse nach dem Ereignis
Hunting Queries	Threat-Hunting-Abfragen (SOC-THREAT-HUNT: Hypothese, Technik)
Vendor Sharing	Austausch mit Herstellern/Partnern
Knowledge Base	XDR-Wissensdatenbank
Threat Landscape	Bedrohungslage
Reports & Analytics	Berichte und Analytics (gemeinsames Reporting-Modul, mit Zeitplanung)

Wie Sie es bedienen. Sie wechseln zwischen den Unteransichten, korrelieren Signale, verwalten IOCs und Hunting-Kampagnen und erstellen Briefings und Berichte. Hier bearbeiten Sie auch die Findings des Attack Surface Management (SOC-ASM) und die Security Cases (SOC-CASE, Untersuchungen, die mehrere Alerts/Incidents/IOCs über Ticket-Links bündeln).

Was danach passiert. Korrelationen können Incidents/Cases erzeugen; bestätigte IOCs fließen in die Abwehrsysteme ein; Berichte lassen sich zeitlich planen.

Hinweise. Die Ansicht Reports verwendet das gemeinsame Reporting-Modul der Plattform.

Vulnerability Cockpit

Wozu es dient. Verwaltet die von Scannern (Tenable, Qualys, Nessus) erkannten Schwachstellen (SOC-VULN): von der Entdeckung bis zur Behebung.

Wann Sie es verwenden. Um die Behebung von Schwachstellen zu priorisieren und zu verfolgen.

Wie Sie es öffnen. Über die Landing Page des Security Hub, Kachel Schwachstellen.

Was es anzeigt. Das Schwachstellen-Cockpit mit CVSS-Score, betroffenem Host/CI, Quelle und Behebungsstatus; gibt es keine offenen Findings, erscheint der Status „Keine offenen Findings“.

Wie Sie es bedienen. Sie prüfen die Schwachstellen nach Schweregrad, planen die Behebung und verknüpfen sie mit Changes und Assets.

Was danach passiert. Die Behebung aktualisiert den Status; kritische Schwachstellen können Incidents erzeugen.

Hinweise. Wird von den Scannern per Ingestion befüllt.

PAM Hub

Wozu es dient. Der Einstiegspunkt in das Privileged Access Management: Steuerung privilegierter Zugriffe, Konten, Zugangsdaten, Sitzungen und Compliance.

Wann Sie es verwenden. Um privilegierte Zugriffe auf sensible Systeme zu verwalten und zu überwachen.

Wie Sie es öffnen. Über die Landing Page des Security Hub, Kachel PAM.

Was es anzeigt. Die Kacheln zu den PAM-Seiten: Zugriffe, Konten, Vault, Sitzungen, Compliance.

Wie Sie es bedienen. Wählen Sie den PAM-Bereich; die Funktionen sind in den folgenden Abschnitten beschrieben.

Was danach passiert. PAM-Vorgänge werden vollständig im Audit protokolliert.

Hinweise. PAM ist Sicherheitsrollen vorbehalten (SOC/CISO/PAM-Admin).

PAM Zugriffe JIT/JEA

Wozu es dient. Verwaltet Anträge auf privilegierten Zugriff nach dem Modell JIT/JEA (Just-In-Time / Just-Enough-Access): zeitlich begrenzte, minimale Rechtevergabe.

Wann Sie es verwenden. Wenn ein Benutzer vorübergehend privilegierten Zugriff auf ein System benötigt.

Wie Sie es öffnen. Über den PAM Hub, Kachel Zugriffe.

Was es anzeigt und wie Sie es bedienen. Die Zugriffsanträge (SOC-ACCESS-REQ) mit Genehmigung (CISO/SOC) und Ablaufdatum; Sie gewähren den Zugriff für das benötigte Zeitfenster und entziehen ihn bei Ablauf.

Was danach passiert. Der gewährte Zugriff ist zeitlich begrenzt und wird automatisch entzogen; jede Gewährung wird protokolliert.

Hinweise. Das JIT/JEA-Modell minimiert dauerhafte Privilegien.

PAM Privilegierte Konten

Wozu es dient. Verwaltet das Inventar der privilegierten Konten (Administrator- und Dienstkonten) und deren Lebenszyklus.

Wann Sie es verwenden. Um privilegierte Konten zu erfassen, zu rotieren und zu deaktivieren.

Wie Sie es öffnen. Über den PAM Hub, Kachel Konten.

Was es anzeigt und wie Sie es bedienen. Die Liste der privilegierten Konten mit Eigentümer, System und Status sowie die Aktionen zum Rotieren/Deaktivieren.

Was danach passiert. Änderungen werden protokolliert; nicht konforme Konten erscheinen in der PAM-Compliance (PAM Compliance).

Hinweise. Verknüpft mit dem Vault (PAM Vault für Zugangsdaten).

PAM Vault für Zugangsdaten

Wozu es dient. Der Tresor für privilegierte Zugangsdaten: sichere Verwahrung und kontrollierte Ausgabe von Secrets.

Wann Sie es verwenden. Um privilegierte Zugangsdaten sicher zu verwahren und abzurufen.

Wie Sie es öffnen. Über den PAM Hub, Kachel Vault.

Was es anzeigt und wie Sie es bedienen. Die im Vault verwahrten Elemente mit kontrolliertem Zugriff; der Abruf erfordert eine Autorisierung und wird protokolliert.

Was danach passiert. Jeder Zugriff auf ein Secret wird im Audit erfasst.

Hinweise. Zugangsdaten werden in der Oberfläche nie über das Nötige hinaus im Klartext angezeigt; das Hinterlegen von Secrets erfolgt durch den Benutzer.

PAM Privilegierte Sitzungen

Wozu es dient. Verwaltet und zeichnet privilegierte Sitzungen zu den Systemen auf.

Wann Sie es verwenden. Um eine privilegierte Sitzung zu starten oder zu überwachen und ihre Aufzeichnung einzusehen.

Wie Sie es öffnen. Über den PAM Hub, Kachel Sitzungen.

Was es anzeigt und wie Sie es bedienen. Die aktiven und vergangenen Sitzungen mit Benutzer, System, Dauer und Aufzeichnung; von hier können Sie eine Sitzung starten (auch über die PAM-Konsole, PAM-Konsole (Zero-Knowledge-Zugriff)).

Was danach passiert. Die Sitzungen werden für Audit und Prüfung aufgezeichnet.

Hinweise. Unterstützt das Zero-Knowledge-Modell (PAM-Konsole (Zero-Knowledge-Zugriff)).

PAM Compliance

Wozu es dient. Prüft die Konformität privilegierter Zugriffe und Konten mit den Richtlinien.

Wann Sie es verwenden. Für die regelmäßigen PAM-Compliance-Prüfungen.

Wie Sie es öffnen. Über den PAM Hub, Kachel Compliance.

Was es anzeigt und wie Sie es bedienen. Den Compliance-Status (übermäßige Zugriffe, verwaiste Konten, versäumte Rotationen) und die Korrekturmaßnahmen.

Was danach passiert. Nichtkonformitäten fließen in Findings und Remediation-Maßnahmen ein.

Hinweise. Verknüpft mit GRC/Audit.

PAM-Konsole (Zero-Knowledge-Zugriff)

Wozu es dient. Öffnet eine privilegierte Zero-Knowledge-Konsole zu einem CI/System, ohne dem Operator die Zugangsdaten offenzulegen.

Wann Sie es verwenden. Wenn Sie während der Ticketbearbeitung auf einem System arbeiten müssen (z. B. Incident auf einem Host).

Wie Sie es öffnen. Über die Schaltfläche Console PAM im Ticket-Editor (Ticket-Editor), wenn das Ticket ein CI betrifft, oder über die Seite PAM-Sitzungen.

Was es anzeigt und wie Sie es bedienen. Die Sitzungskonsole zum System, vermittelt durch PAM: Die Zugangsdaten werden aus dem Vault eingespeist, ohne offengelegt zu werden.

Was danach passiert. Die Sitzung wird aufgezeichnet (PAM Privilegierte Sitzungen) und im Audit protokolliert.

Hinweise. Zero-Knowledge-Modell: Der Operator arbeitet, ohne das Secret zu kennen.

SecOps Admin

Wozu es dient. Die Konfiguration der Sicherheitsautomatisierung (SOAR) und der Reaktionsrichtlinien.

Wann Sie es verwenden. Um das Risiko-Scoring zu konfigurieren und die Genehmigungen von Remediation-Aktionen sowie deren Umkehrbarkeit zu verwalten.

Wie Sie es öffnen. Über die Landing Page des Security Hub, Kachel SecOps Admin.

Was es anzeigt. Drei Tabs:

1. Risk Scoring — Weights Configuration — die Gewichte und Kriterien des Risikoscores.
2. Approvals Queue — die Queue der Genehmigungen für Remediation-Aktionen.
3. Rollback Stack — der Stapel umkehrbarer Aktionen (um eine Remediation rückgängig zu machen).

Wie Sie es bedienen. Sie legen die Gewichte des Scorings fest, genehmigen oder lehnen Aktionen in der Queue ab und verwalten das Rollback ausgeführter Aktionen.

Was danach passiert. Genehmigte Aktionen werden von den SOAR-Playbooks ausgeführt; das Rollback macht die Auswirkungen rückgängig, sofern unterstützt.

Hinweise. Die Konfiguration der Sicherheitswerkzeuge (Azure Tenant/Client ID/Secret, Type, Endpoint URL) ist in das Integration Center übergegangen (Integration Hub und Import). Sensible Aktionen (z. B. execute_script) sind durch vier Schutzschranken und eine strikte Verwaltung der Secrets gesichert.

IT Security Report Center

Wozu es dient. Das Sicherheits-Reporting: Sicherheitslage, Schwachstellen nach Schweregrad, Incidents, Compliance.

Wann Sie es verwenden. Um Sicherheitsberichte zu erstellen und einzusehen.

Wie Sie es öffnen. Über die Landing Page des Security Hub, Kachel IT Security Report Center.

Was es anzeigt und wie Sie es bedienen. Den Katalog der Sicherheitsberichte mit Eingrenzung auf die Domäne SOC, Vorschau, Zeitplanung und Export.

Was danach passiert. Berichte lassen sich zeitlich planen und exportieren.

Hinweise. Eingrenzung auf die Domäne Sicherheit.

Agent Monitoring

Wozu es dient. Überwacht die auf den Systemen installierten Sicherheits-Agenten/Endpoints.

Wann Sie es verwenden. Um Abdeckung und Status der Agenten zu prüfen (EDR/Monitoring).

Wie Sie es öffnen. Über die Landing Page des Security Hub / Bereich SecOps.

Was es anzeigt und wie Sie es bedienen. Den Status der Agenten pro Host (Version, Konnektivität, Zustand); hier erkennen Sie ungeschützte oder fehlerhafte Endpoints.

Was danach passiert. Auffälligkeiten können Alerts/Tickets erzeugen.

Hinweise. Ergänzt das Attack Surface Management (XDR Ops).

Mit dem Hub verknüpfte Seiten (an anderer Stelle beschrieben)

Von der Security-Landing-Page erreichen Sie auch Seiten, die auf eigenen Seiten behandelt werden: GRC (GRC, Risiko, Compliance und Recht), ICC (Stammdaten Projekte / Kunden), CMDB mit Sicherheitsfokus (Asset Management und CMDB), ITOM mit Sicherheitsfokus (NOC, Observability und ITOM), Agent Control Tower (KI-Hub und Agenten), Operations Cockpit und die Ansichten Service Director SOC/XDR/GRC/ICC (Cockpits und Leitungsansichten).