Am Dienstag, 20.10., habe ich morgens Mastodon durchgescrollt. Viele der Accounts, denen ich dort folge, sind wie ich im Infosec-Bereich unterwegs. So kam es, dass ich dort zuerst von der Schwachstelle PHP2Shell gelesen habe: unklare Details, aber alle PHP-Installationen betroffen. Pre-auth Remote Code Execution, also absolut kritisch. Noch kein Fix vorhanden, aber angeblich erste Exploits im Umlauf. Patch wird um 16 Uhr veröffentlicht, bis dahin sollte man alles offline nehmen, auf dem PHP läuft und das mit dem Internet verbunden ist. Okay, dachte ich, das könnte ein arbeitsreicher Tag werden. Zur Erinnerung: Ich bin erst kürzlich im Schwachstellen-Management gelandet.

Meine größte berufliche Errungenschaft der jüngeren Zeit ist wohl, dass mein Vorgesetzter mich mittlerweile überzeugt auf Rettungsmission zu Kunden schickt, die aus irgendwelchen Gründen nicht mehr ganz zufrieden mit der Arbeit meiner Firma sind - im Glauben, dass ich das rausreißen kann. Wenn ich das so schreibe, klingt das ein wenig nach Himmelfahrtskommando in den Burnout, aber tatsächlich ist es harmlos. Ich bin gut darin, mit Menschen umzugehen und zu kommunizieren, und darum geht es bei diesen Missionen.

Als ich vor weniger als zehn Jahren anfing, mich als Berater auf SIEM-Systeme zu spezialisieren, gab es ein paar maßgebliche SIEM-Systeme auf dem Markt, die von den großen Organisationen, die sie verwendeten, auf eigenen Servern betrieben wurden:

• Splunk Enterprise (oder Enterprise Security)
• ArcSight
• IBM QRadar

Andere Lösungen existierten, unter anderem war zu dieser Zeit die vollwertige SIEM-Lösung von Elastic (als Zusatzmodul auf dem Elastic- oder ELK-Stack) im Kommen.

Seitdem hat sich auf diesem Markt erstaunlich viel getan. Mittlerweile sind die drei wichtigsten Produkte in meiner Wahrnehmung die folgenden: