ROOTKey vs. SIEM: Brauche ich beides?
Kurze Antwort
Ein SIEM sammelt und korreliert die Protokolle (Logs) und Sicherheitsereignisse, die Ihre Systeme erzeugen, damit Ihr Team verdächtige Aktivitäten erkennen und untersuchen kann. ROOTKey arbeitet an den Daten selbst: Es versiegelt einen Fingerabdruck jeder Version Ihrer Dateien, Tabellen und Datensätze, erkennt jede Änderung - was, wer, wann und wo - und stellt nur das Veränderte wieder her. Das SIEM erkennt Ereignisse; ROOTKey beantwortet, welchen Daten nach einem Alarm noch zu trauen ist. Wenn Sie beide Antworten brauchen, brauchen Sie beides, und die Ereignisse von ROOTKey erreichen Ihr SIEM über die REST API und Webhooks.
- Erkennung
- Laufendwas, wer, wann und wo
- An Ihr SIEM
- REST APIund Webhooks
- Fingerabdruck
- SHA-256für jede Version, mit Zeitstempel
- Umfang
- Datei · Tabelle · Zeilenur das Veränderte
Im Vergleich: SIEM und ROOTKey
Ein SIEM betrachtet die Ereignisse, die Ihre Systeme melden. ROOTKey betrachtet den Inhalt Ihrer Dateien, Tabellen und Datensätze. Die Tabelle zeigt, was beide jeweils leisten.
| SIEM | ROOTKey | |
|---|---|---|
| Welche Frage | Was geschieht in unseren Systemen, und ist etwas davon verdächtig? | Welchen Daten ist noch zu trauen, und was genau hat sich geändert? |
| Was erfasst wird | Logs und Sicherheitsereignisse aus Systemen, Anwendungen und Netzwerkgeräten | Ein SHA-256-Fingerabdruck jeder Version jeder Datei, Tabelle oder jedes Datensatzes, mit Zeitstempel in einem unabhängigen öffentlichen Register versiegelt |
| Nachweis für DritteIntegrität gegenüber anderen belegt | Nicht seine Aufgabe: Es speichert und analysiert die Ereignisse, die es empfängt | Jede kritische Aktion erzeugt einen unabhängigen Nachweis, den externe Prüfer verifizieren können, ohne auf die Originaldaten zuzugreifen |
| Details der Änderungwas, wer, wann und wo | Zeigt die Aktivität, die Systeme melden, etwa Anmeldungen, Zugriffe und Alarme, soweit jede Quelle sie protokolliert | Zeigt die Änderung im Inhalt selbst - Zeile, Zelle oder Feld, vorher und nachher - mit wer, wann und wo |
| Gezielte Wiederherstellungnur das Veränderte | Nicht seine Rolle: Ein SIEM stellt keine Daten wieder her | Ja: die letzte nachweislich gültige Version, bis hinunter zu einer einzelnen Datei oder Zeile |
| Unabhängige Verifizierung | Arbeitet mit den Ereignissen, die die überwachten Systeme melden | Vergleicht die Daten selbst mit einem Fingerabdruck, der in einem unabhängigen öffentlichen Register versiegelt ist |
| Bestehender Speicherarbeitet mit Ihren Tools | Sammelt Ereignisse aus den Systemen, mit denen es verbunden ist | Direkte Konnektoren zu SharePoint, OneDrive, Amazon S3 und Cloudflare R2; REST API und Webhooks für jedes andere System, auch Ihr SIEM |
| Regulatorische Nachweise | Unterstützt Überwachung, Erkennung und Behandlung von Vorfällen | Ein kryptografischer Audit-Trail, Integritätsberichte und Nachweispakete für NIS2 (Art. 21, 23), DORA (Art. 9, 17) und DSGVO (Art. 32) |
Wann Sie was brauchen
- SIEM
- Um die Aktivität über viele Systeme hinweg zu überwachen, Ereignisse zu korrelieren, Alarme auszulösen und Ihr Security-Operations-Team bei der Untersuchung eines Vorfalls zu unterstützen.
- ROOTKey
- Wenn es um die Daten selbst geht: ob eine Datei, eine Tabelle oder ein Datensatz verändert wurde, was genau sich geändert hat, welcher Version zu trauen ist und wie Sie das gegenüber einem Prüfer oder einer Aufsichtsbehörde belegen.
Die beiden beantworten unterschiedliche Fragen und funktionieren am besten gemeinsam.
Wie sie zusammenwirken
Die Ereignisse von ROOTKey stehen Ihrem SIEM über die REST API und Webhooks zur Verfügung, sodass Ihr Team Änderungen an den Daten neben den übrigen Sicherheitsereignissen sieht.
Verankern
Jede Version jeder Datei, Tabelle oder jedes Datensatzes erhält einen einzigartigen digitalen Fingerabdruck, versiegelt in einem unabhängigen öffentlichen Register mit Zeitstempel.
Erkennen
ROOTKey vergleicht Ihre Daten fortlaufend mit dem versiegelten Eintrag und meldet jede Änderung, erklärt: was, wer, wann und wo.
Korrelieren
Die Ereignisse erreichen Ihr SIEM über die REST API und Webhooks, neben den Ereignissen aus Ihrer übrigen Infrastruktur.
Nach einem Alarm wiederherstellen
Wenn ein Alarm ausgelöst wird, zeigt ROOTKey, welche Daten verändert wurden und welchen noch zu trauen ist, und stellt nur das Veränderte aus der letzten nachweislich gültigen Version wieder her. Jede Aktion wird mit einem kryptografischen Zeitstempel versiegelt; so entsteht eine Beweiskette, die für Prüfer bereitsteht und sich für Aufsichtsbehörden exportieren lässt.
Konnektoren, API und Webhooks: Integrationen.
Häufig gestellte Fragen
Ersetzt ROOTKey mein SIEM?
Nein - es ergänzt es. Das SIEM erkennt Ereignisse; ROOTKey beantwortet, welchen Daten nach einem Alarm noch zu trauen ist. Die beiden beantworten unterschiedliche Fragen und funktionieren am besten gemeinsam.
Wie integriert sich ROOTKey in unser SIEM?
Ereignisse stehen Ihrem SIEM über die REST-API und Webhooks zur Verfügung.
Kann ein SIEM zeigen, was sich in einer Datei geändert hat?
Ein SIEM arbeitet mit den Ereignissen, die Systeme melden, etwa Zugriffe und Aktivität. ROOTKey vergleicht die Datei selbst mit dem versiegelten Original und zeigt nur, was verändert wurde - Zeile, Zelle oder Feld, vorher und nachher - mit wer, wann und wo.
Wo läuft ROOTKey?
ROOTKey läuft als in der EU gehostetes SaaS, in Ihrem eigenen Cloud-Konto, innerhalb Ihrer Infrastruktur oder hybrid, mit den Daten On-Premise und getrennten SaaS-Dashboards.