{"id":82145,"date":"2026-07-15T13:23:54","date_gmt":"2026-07-15T21:23:54","guid":{"rendered":"http:\/\/www.sumologic.com\/blog\/bedrohungserkennung-fuer-hybrid-infrastrukturen-ein-praktischer-bereitstellungsleitfaden"},"modified":"2026-10-29T19:26:50","modified_gmt":"2026-10-30T03:26:50","slug":"threat-detection-for-hybrid-infrastructures","status":"publish","type":"blog","link":"https:\/\/www.sumologic.com\/de\/blog\/threat-detection-for-hybrid-infrastructures","title":{"rendered":"Bedrohungserkennung f\u00fcr Hybrid-Infrastrukturen: ein praktischer Bereitstellungsleitfaden"},"content":{"rendered":"\n
\n
\n
\n
\n
\"\"<\/figure>\n<\/div>\n\n\n

<\/p>\n\n\n\n

Jeder Vendor-Pitch beginnt gleich: Gehen Sie Cloud-nativ und alle Ihre Transparenzprobleme verschwinden. Sch\u00f6ne Geschichte. Nur hat Ihr Rechenzentrum von 2014 diese Nachricht nicht bekommen, Ihr Produktionsbereich l\u00e4uft immer noch auf einem OT-Netzwerk, das niemand anfassen will, und die H\u00e4lfte Ihrer \u201eCloud-Migration\u201c ist eigentlich ein Kubernetes-Cluster mit einem VPN-Tunnel zur\u00fcck zu einem Rack in einer Colocation-Einrichtung.<\/p>\n\n\n\n

Hybrid ist keine Phase, die Sie auf dem Weg zu Cloud-nativ durchlaufen. F\u00fcr die meisten Organisationen ist es der permanente Zustand. Und das bedeutet, dass die Bedrohungserkennung \u00fcber Umgebungen hinweg funktionieren muss, die nie daf\u00fcr ausgelegt waren, vom gleichen Tool \u00fcberwacht zu werden.<\/p>\n\n\n\n

Die L\u00fccke in der Hybrid-Bedrohungserkennung liegt an den Grenzen zwischen Umgebungen<\/h2>\n\n\n\n

Sie k\u00f6nnen Erkennung f\u00fcr AWS kaufen. Sie k\u00f6nnen Erkennung f\u00fcr Azure kaufen. Sie k\u00f6nnen Erkennung f\u00fcr Ihre On-Prem-Firewalls kaufen. Was fast niemand kauft, ist Erkennung f\u00fcr die Grenze zwischen ihnen. Die Identit\u00e4tsbr\u00fccke zwischen Ihrem AD und Ihrem Cloud-IdP, das Dienstkonto, das auf beiden Seiten Zugriff hat, das VPN-Gateway, das das Einzige ist, das zwischen einem kompromittierten Laptop und Ihren wertvollsten Verm\u00f6genswerten steht.<\/p>\n\n\n\n

Angreifer respektieren Ihr Architekturdiagramm nicht. Sie gehen \u00fcberall hin, wo der Weg am k\u00fcrzesten ist, und der Weg f\u00fchrt fast immer durch eine Grenze, die niemand genau beobachtet, weil sie zwei Teams geh\u00f6rt und keines von ihnen besitzt sie.<\/p>\n\n\n\n

Was Hybrid-Bedrohungserkennung tats\u00e4chlich erfordert<\/h2>\n\n\n\n

Die meisten Inhalte zur \u201eHybrid-Bedrohungserkennung\u201c gehen von einer gr\u00fcnen Wiese aus. Ihre ist es nicht. So kommen Sie tats\u00e4chlich von dort, wo Sie sind, dorthin.<\/p>\n\n\n\n

    \n
  1. Inventarisieren Sie Ihre Grenzen, bevor Sie etwas kaufen.<\/strong> Kartografieren Sie jeden Ort, an dem Identit\u00e4t, Netzwerk oder Daten eine Umgebungsgrenze \u00fcberschreiten: AD-zu-Entra ID oder Okta-Synchronisierung, gemeinsame Dienstkonten, VPN-Gateways, S3-Buckets, die von On-Prem-NAS replizieren, Kubernetes-Cluster mit Hybrid-Node-Pools. Diese Liste ist normalerweise l\u00e4nger und h\u00e4sslicher als erwartet.<\/li>\n\n\n\n
  2. Normalisieren Sie, bevor Sie korrelieren.<\/strong> AWS CloudTrail, Azure Activity Logs, GCP Audit Logs, On-Prem-Syslog von Firewalls und IDS sowie Kubernetes Audit Logs beschreiben alle die gleichen Arten von Ereignissen \u2013 Authentifizierung, Zugriff und Konfigurations\u00e4nderung \u2013 in v\u00f6llig unterschiedlichen Formen. Wenn Ihre Plattform sie nicht auf ein konsistentes Schema abbilden kann, \u00fcbersetzen Ihre Analysten w\u00e4hrend eines Vorfalls von Hand, was der schlechteste m\u00f6gliche Zeitpunkt ist, um ein neues Protokollformat zu lernen.<\/li>\n\n\n\n
  3. Legen Sie Identit\u00e4ts- und Netzwerk-Telemetrie auf die gleiche Zeitachse.<\/strong> Eine Cloud-IAM-Richtlinien\u00e4nderung und eine On-Prem-VPN-Anmeldung drei Minuten sp\u00e4ter k\u00f6nnten unabh\u00e4ngig sein. Oder es k\u00f6nnte der ganze Vorfall sein. Sie k\u00f6nnen den Unterschied nicht erkennen, wenn sie in separaten Tools mit separaten Aufbewahrungsfenstern leben.<\/li>\n\n\n\n
  4. Ordnen Sie <\/strong>MITRE ATT&CK<\/strong><\/a> unabh\u00e4ngig davon zu, woher das Protokoll stammt.<\/strong> Konsistente Erkennungslogik \u00fcber Umgebungen hinweg ist wichtiger als jede einzelne Erkennungsregel. Wenn Ihre On-Prem-Erkennungen und Cloud-Erkennungen unterschiedliche Taxonomien verwenden, verwalten Sie zwei mentale Modelle des gleichen Angreifers.<\/li>\n\n\n\n
  5. Erstellen Sie Playbooks, die tats\u00e4chlich die Grenze \u00fcberschreiten.<\/strong> Ein Insight, der bei anomalem Cloud-seitigen Zugriff ausgel\u00f6st wird, sollte automatisch gegen Ihr On-Prem-Asset-Inventar und Ihre Identit\u00e4tsdaten angereichert werden k\u00f6nnen, anstatt an der Grenze des Tools zu stoppen, der zuf\u00e4llig den Alert generiert hat.<\/li>\n<\/ol>\n\n\n\n

    Wie das in der Praxis aussieht<\/h2>\n\n\n\n

    Dies ist der eigentliche Anwendungsfall f\u00fcr Cloud SIEM<\/a>: Es erfasst AWS, Azure, GCP, Kubernetes, Linux, NGINX und On-Prem-Quellen in eine normalisierte Pipeline, anstatt einen Haufen von getrennten Tools, die alle behaupten, \u201eeinheitlich\u201c zu sein.<\/p>\n\n\n\n

    DojoAI<\/a> argumentiert \u00fcber diese unterschiedlichen Quellen hinweg, anstatt jede als ihre eigene Insel zu behandeln, verbindet ein Signal aus einer Cloud-Kontrolleben mit Aktivit\u00e4t auf einem On-Prem-Endpunkt, ohne dass Ihr Analyst die beiden manuell zusammenn\u00e4ht. Und weil Erkennungen unabh\u00e4ngig von der Quelle konsistent auf MITRE ATT&CK abgebildet werden, kann der SOC Analyst Agent<\/a> einen Insight auf die gleiche Weise triage, ob er von einem VPC-Flow-Log oder einer Firewall auf einem Rack stammt, den Sie vergessen haben, dass er noch eingesteckt ist.<\/p>\n\n\n\n

    Letztes Wort<\/h2>\n\n\n\n

    Niemandes Infrastruktur ist sauber. Die Organisationen, die verletzt werden, sind nicht diejenigen, die Hybrid betreiben; das ist fast jeder. Sie sind diejenigen, die Erkennung f\u00fcr jede Umgebung separat kauften und annahmen, dass die Grenzen sich selbst k\u00fcmmern w\u00fcrden. Angreifer haben die Grenzen bereits gefunden. Die einzige Frage ist, ob Sie sie zuerst finden.<\/p>\n\n\n\n

    F\u00fchren Sie Erkennung \u00fcber Cloud und On-Prem durch und sp\u00fcren die Grenzen? Sehen Sie, wie Sumo Logic Cloud SIEM Hybrid-Umgebungen handhabt.<\/a><\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div><\/section>\n","protected":false},"excerpt":{"rendered":"","protected":false},"author":331,"featured_media":76410,"template":"","meta":{"_acf_changed":false,"show_custom_date":false,"custom_date":"","featured":false,"featured_image":0,"learn_more_label":"","image_alt_text":"","learn_more_type":"","show_popup":false,"learn_more_link_file":0,"event_date":false,"event_start_date":"","event_end_date":"","place_holder_image_url":"","post_reading_time":"3","notification_enabled":false,"notification_text":"","notification_logo":"","notification_expiration_time":0,"is_enable_transparent_header":false,"selected_taxonomy_terms":{"blog-category":[255,257],"blog-tag":[],"translation_priority":[221]},"selected_primary_terms":[],"learn_more_link":[],"featured_page_list":[],"notification_enabled_post_list":[],"_gspb_post_css":"","_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"81977,80874,80883","_relevanssi_noindex_reason":"","inline_featured_image":false,"footnotes":""},"blog-category":[255,257],"blog-tag":[],"class_list":["post-82145","blog","type-blog","status-publish","has-post-thumbnail","hentry","blog-category-cloud-siem","blog-category-secops-security"],"acf":[],"permalink_manager":null,"_links":{"self":[{"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/blog\/82145","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/blog"}],"about":[{"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/types\/blog"}],"author":[{"embeddable":true,"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/users\/331"}],"version-history":[{"count":2,"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/blog\/82145\/revisions"}],"predecessor-version":[{"id":82147,"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/blog\/82145\/revisions\/82147"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/media\/76410"}],"wp:attachment":[{"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/media?parent=82145"}],"wp:term":[{"taxonomy":"blog-category","embeddable":true,"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/blog-category?post=82145"},{"taxonomy":"blog-tag","embeddable":true,"href":"https:\/\/www.sumologic.com\/de\/wp-json\/wp\/v2\/blog-tag?post=82145"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}