Details
Integrationen und unterstützte Prüfungen
Für jede Integration nennen wir, was geprüft wird und wo die Grenzen liegen. Das Detail hinter der Übersicht auf der Startseite.
Integrationen
Neun Integrationen für Pilote verfügbar.
Wir nennen nur Integrationen, die wir mit ihren Grenzen besprechen können, und legen jede Grenze von Anfang an offen.
| Integration | Bereich | Umfangshinweis | Status |
|---|---|---|---|
| GitLab | Quellcodeverwaltung | Getestet mit selbst betriebenem GitLab. Einzelne Prüfungen liefern in der Free-Edition UNKNOWN. | Pilot unterstützt |
| Microsoft Azure | Cloud | Getestet an einem Abonnement mit einem Service Principal mit Reader-Rolle. | Pilot unterstützt |
| Veeam Backup & Replication | Backup | Belegt Backup-Jobs, nicht die davon geschützten Server. | Pilot unterstützt |
| Proxmox Backup Server | Backup | Getestet in einer Laborumgebung. | Pilot unterstützt |
| Microsoft Entra ID | Identität | Einzelne Prüfungen setzen Entra-ID-P1/P2-Lizenzen voraus. | Pilot unterstützt, eingegrenzt |
| Graylog | Logging | Ein Teil der Prüfungen gegen ein Live-System validiert; der Rest wird pro Pilot abgegrenzt. | Pilot unterstützt, eingegrenzt |
| Wazuh | Monitoring | Die meisten Prüfungen gegen ein Live-System validiert; der Rest wird pro Pilot abgegrenzt. | Pilot unterstützt, eingegrenzt |
| GitHub | Quellcodeverwaltung | Repository- und Ruleset-Prüfungen an einem privaten Repository validiert. | Pilot unterstützt, eingegrenzt |
| HashiCorp Vault | Secrets | Nur Metadaten-Prüfungen. Secret-Werte werden nicht gelesen. | Pilot unterstützt, eingegrenzt |
„Pilot unterstützt“ bedeutet: für Pilote mit Design-Partnern innerhalb der genannten Grenzen verfügbar. Es bedeutet nicht „im Produktivbetrieb bewährt“. Ihr System ist nicht aufgeführt? Fragen Sie uns. Wir sagen Ihnen offen, ob es unterstützt wird.
Abdeckung
Technische Absicherung in sechs Bereichen.
Jeder Bereich wird über Systeme geprüft, die Sie bereits betreiben. Die Tiefe unterscheidet sich je nach System und Edition; jeder Pilot beginnt mit einer schriftlichen Liste dessen, was geprüft wird und was nicht.
| Bereich | Was geprüft wird | Über |
|---|---|---|
| Identität | Privilegierte Konten und MFA, Legacy-Authentifizierung, Rollenzuweisungen. | Microsoft Entra ID |
| Quellcodeverwaltung | Branch-Schutz, Review- und Freigabeanforderungen, Secret Scanning, Pipeline-Gates. | GitHub, GitLab |
| Cloud | Auswertung von Azure Policy und Abdeckung erwarteter Ressourcen. | Microsoft Azure |
| Logging und Monitoring | Aktive Log-Inputs und -Quellen, registrierte und meldende Monitoring-Agents, Aufbewahrung. | Graylog, Wazuh |
| Backup | Erwartete Backup-Jobs und -Gruppen sind vorhanden, mit aktuellen erfolgreichen oder verifizierten Läufen. | Veeam, Proxmox Backup Server |
| Secrets Management | Vault initialisiert, Audit-Device aktiv, keine Klartext-Secrets in Audit-Logs. Secret-Werte werden nicht gelesen. | HashiCorp Vault |
Ehrliche Ergebnisse
Fehlender Nachweis ist kein Sicherheitsnachweis.
Jede Prüfung endet in einem von drei Ergebnissen. Kann Akvera eine Kontrolle weder bestätigen noch widerlegen, sagt es das, statt Grün zu zeigen.
- PASSBestanden
Ausreichende, aktuelle Nachweise stützen die Kontrolle.
- FAILFehlgeschlagen
Eine aktuelle, gültige Beobachtung verletzt die Kontrolle.
- UNKNOWNUnbekannt
Akvera liegen nicht genügend Nachweise für eine belastbare Aussage vor.
Typische Ursachen für UNKNOWN
- Fehlende Berechtigungen
- Nicht unterstützte API-Funktion
- Unvollständige Abdeckung
- Lizenz- oder Editionsgrenzen
- Veraltete Nachweise
Ein UNKNOWN nennt seine Ursache und den nächsten Schritt, etwa eine Berechtigung zu erteilen oder den erwarteten Bestand zu hinterlegen. Es ist ein definiertes Ergebnis, kein Fehler.
Produktprinzipien
- Fehlender Nachweis wird nicht zu PASS.
- Teilweise Abdeckung wird nicht zu vollständiger Abdeckung.
- Akvera zieht UNKNOWN einer falschen Sicherheit vor.
Erwartet vs. beobachtet
Sichtbar in einem Tool heißt nicht vollständig.
Akvera geht nicht davon aus, dass alles, was eine Security-Plattform anzeigt, Ihre gesamte Umgebung abbildet. Sie legen fest, was vorhanden sein soll; die Quellsysteme melden, was sie beobachten; die Differenz ist eine Abdeckungslücke.
- ErwartetVon Ihnen festgelegt: die Endgeräte, Logquellen, Repositories oder Backup-Gruppen, die abgedeckt sein müssen.
- BeobachtetVon den Quellsystemen gemeldet, wenn Akvera sie abfragt.
- AbdeckungslückenÜberall dort, wo Erwartung und Beobachtung auseinanderliegen.
| Zustand | Bedeutung |
|---|---|
ERWARTET + BEOBACHTETErwartet und beobachtet | Abdeckung besteht. Die Prüfung kann das Objekt bewerten. |
ERWARTET + FEHLENDErwartet, nicht beobachtet | Erforderliche Abdeckung fehlt. Das ist eine Lücke, kein Bestehen. |
BEOBACHTET + UNERWARTETBeobachtet, nicht erwartet | In einem Quellsystem gefunden, aber nicht deklariert. Hier ist eine Entscheidung nötig. |
Konzeptionelle Darstellung. Der erwartete Bestand ist bewusst eng gefasst und keine CMDB.
Umfang der Pilote
Aktuelle Pilote sind kundengehostet und lesend und beginnen mit einem oder zwei Ihrer Systeme. Akvera ist eine Vorab-Version (Pre-Release). Umfang, Dauer und Bedingungen werden in einer schriftlichen Pilotvereinbarung festgelegt.