Mehrschichtige Verteidigung mit Wazuh und FortiGate

Mehrschichtige Verteidigung mit Wazuh und FortiGate verlangt ein klares Datenmodell, damit Sicherheitsteams rohe Alarme in belastbare Aktionen umwandeln können. Dieser Beitrag fokussiert Netzwerk- und Endpoint-Signale in einer Vorfallkette zu verbinden und Windows-Event-ähnliche Quellen klar als Roadmap zu kennzeichnen; statt allgemeiner Produktwerbung stehen Signale, Beispielszenario und messbare Umsetzung im Mittelpunkt.

Technisches Problem

In Unternehmensumgebungen beschreibt eine einzelne Logquelle selten den ganzen Vorfall. Netzwerk-, Identitäts-, Geräte- und Anwendungsdaten wirken isoliert oft harmlos. Werden sie über Zeit, Benutzer und Asset-Kontext verbunden, entsteht eine entscheidbare Sicherheitsgeschichte.

Zu sammelnde Signale

• FortiGate-Traffic- und VPN-Daten
• Wazuh-Regeltreffer und Agent-Ereignisse
• Roadmap-Hinweis zur Windows-Event-Korrelation

Diese Signale sollten in einem gemeinsamen Schema landen. Sonst erscheinen dieselben Werte je nach Seite als Source IP, Client IP oder Remote Address und erzeugen widersprüchliche Berichte.

Realistisches Szenario

Zeigt FortiGate eine ausgehende Verbindung und Wazuh in derselben Minute einen verdächtigen Prozess, gehört beides in einen Vorfall; inaktive Windows-Event-Unterstützung muss als Roadmap markiert sein.

Umsetzungsansatz

Integrationsseiten sollten aktive Quellen von geplanten Funktionen trennen; Crawler und Nutzer brauchen dieselbe Klarheit.

Messung und Validierung

Erfolgsmetrik: Anteil mehrquelliger Ereignisse messen, die zu einem Vorfall zusammengeführt werden.