Die CSF AG betreibt eine hybride IT-Umgebung mit Microsoft-Cloud-Diensten und lokalen Systemen. Sicherheitsrelevante Ereignisse wurden bisher überwiegend in den jeweiligen Einzelsystemen betrachtet. Dadurch fehlten eine zentrale Sicht auf Anmeldungen, administrative Änderungen und weitere sicherheitsrelevante Aktivitäten sowie die Möglichkeit einer effizienten übergreifenden Analyse. Ziel war deshalb die produktionsnahe Einführung von Microsoft Sentinel als zentrale SIEM-Plattform für das interne Security Monitoring.

Zu Beginn wurden die bestehende IT- und Sicherheitslandschaft sowie die fachlichen, technischen und organisatorischen Anforderungen analysiert. Daraus entstanden ein Anforderungskatalog, eine Zielarchitektur und priorisierte Security Use Cases. Anschliessend wurden die erforderlichen Azure-Ressourcen, ein Log Analytics Workspace und Microsoft Sentinel eingerichtet. Microsoft Entra ID, ausgewählte Microsoft-365-Auditdaten und ein lokaler Managementserver wurden integriert. Die Datenaufnahme wurde mit KQL-Abfragen geprüft und durch vordefinierte sowie eigene Analyseregeln ergänzt.

Im Rahmen der Arbeit wurde eine funktionsfähige Microsoft-Sentinel-Umgebung für die CSF AG aufgebaut und dokumentiert. Die priorisierten Datenquellen konnten erfolgreich angebunden werden und lieferten zentral auswertbare Ereignisse. Zum Zeitpunkt der Evaluation waren zehn Analyseregeln aktiviert. Zusätzlich wurde eine eigene KQL-basierte Regel zur Erkennung mehrfach fehlgeschlagener Anmeldungen entwickelt und mit kontrollierten Testereignissen geprüft. Damit konnte die Verarbeitungskette von der Datenaufnahme bis zur automatisierten Alert-Erzeugung nachvollzogen werden.Die Lösung verbessert die Sichtbarkeit von Anmeldeereignissen, Microsoft-365-Aktivitäten, administrativen Änderungen und lokalen Sicherheitsereignissen. Gleichzeitig schafft sie eine erweiterbare Grundlage für das interne Security Monitoring. Die Evaluation zeigt, dass der Nutzen eines SIEM nicht allein durch die technische Aktivierung entsteht. Entscheidend sind geeignete Datenquellen, klar definierte Use Cases, angepasste Analyseregeln sowie verbindliche Betriebs- und Reaktionsprozesse. Empfohlen werden die Optimierung der Regeln, weitere Datenquellen, Workbooks und risikoarme Automatisierungen.