Splunk bietet einheitliche Sicherheit und Observability zum Schutz von Anwendungen

Mit End-to-End-Bedrohungserkennung und -Response auf Anwendungsebene sorgt ihr dafür, dass Anwendungs- und Sicherheitsteams an einem Strang ziehen – direkt in Splunk.

Warum Anwendungskontext das fehlende Bindeglied im Sicherheitsbereich ist

Da Angreifer zunehmend die Anwendungsschicht ins Visier nehmen, stehen Unternehmen unter Druck. Sie müssen Bedrohungen schneller erkennen und sofort reagieren – aber ohne die richtigen Kontextinformationen sind sie im Blindflug unterwegs.

Neue Studien belegen, wie dringlich und komplex die Herausforderungen in der Anwendungssicherheit geworden sind. Bei 68 % der Unternehmen bleiben kritische Schwachstellen mehr als 24 Stunden unbehandelt¹. Noch besorgniserregender ist, dass der Mangel an Kontextinformationen die Unternehmen laut 35 % der Befragten direkt an einer wirksamen Behebung von Sicherheitslücken hindert. Die Bedrohungslage verschärft sich derweil weiter: Im Jahresvergleich gibt es bei Angriffen auf Open-Source-Schwachstellen einen Anstieg von unglaublichen 742 %.². Die Folgen sind enorm. Die durchschnittlichen Kosten für die Eindämmung eines Sicherheitsverstoßes belaufen sich in den USA mittlerweile auf 9,44 Millionen US-Dollar³, und es dauert im Schnitt 277 Tage, bis ein Incident vollständig eingedämmt ist⁴. Alarmierend ist, dass es bei 60 % der Sicherheitsverstöße schon innerhalb eines Tages zur Datenexfiltration kommt⁴.

Es reicht einfach nicht mehr aus, Schwachstellen zu erkennen – vielmehr müsst ihr wissen, was, wie und wo ausgenutzt wird, und zwar in Echtzeit.

Vorhang auf für Secure Application und Splunk Security

Diese Lücke wollen wir schließen und führen dazu eine neue Integration zwischen Splunks Secure Application – über AppDynamics Bestandteil des Observability-Portfolios von Splunk – und Splunk Enterprise Security ein.

Diese Integration ermöglicht es, Angriffe auf Anwendungen in hybriden und On-Premises-Umgebungen mit den Agenten von Splunk AppDynamics in Echtzeit zu erkennen (Support für Microservices-basierte Anwendungen, die Splunk Observability Cloud und Open Telemetry nutzen, folgt in Kürze). Sicherheitsanalysten und Observability-Teams steht damit eine gemeinsame Informationsquelle zur Verfügung, über die sie sich ein Bild von Laufzeitbedrohungen im Kontext von Anwendungen in der Produktion und Vorproduktion machen können.

Bedeutung

Für Sicherheitsteams:
Observability-Daten nutzen, die vorher gefehlt haben – und direkt in Splunk Security reale Exploit-Versuche verfolgen, einen Überblick über betroffene Services gewinnen und Angriffe mit Kompromittierungsindikatoren korrelieren.

Für Observability-Teams:
Wichtigere Rolle im Sicherheitsbereich spielen – Telemetriedaten werden zum wichtigen Input zum Schutz des Unternehmens, denn sie helfen, Probleme zu erkennen und zu beheben, bevor sie sich zu Sicherheitsverstößen entwickeln.

Funktionsweise

Secure Application überwacht das Verhalten von Anwendungen während der Laufzeit, um Exploit-Versuche direkt zu erkennen. Beim Erkennen eines Angriffs erfasst die Lösung umfassende, umsetzbare Kontextinformationen – wie Methodenaufrufe, anfällige Services, Input-Payloads und Exploit-Metadaten – und sendet diese Daten sofort über HTTP Event Collector (HEC), eine sichere Standardschnittstelle zum Streamen von Event-Daten, an Splunk.

In Splunk lassen sich diese Telemetriedaten dann für folgende Zwecke nutzen:

• Finding-based Detection in Splunk Enterprise Security
• Risk-based Alerting und Priorisierung mit den Korrelationsregeln von Splunk
• Smartere Sichtung durch Anreicherung mit Bedrohungskontext auf Anwendungsebene von Secure Application

Sicherheitsteams nutzen diese Informationen, um in Zusammenarbeit mit Anwendungsteams Abhilfemaßnahmen in Splunk Enterprise Security und Splunk SOAR umzusetzen.

End-to-End-Integration von Secure Application und Splunk Enterprise Security zur Erkennung, Priorisierung und Untersuchung von Bedrohungen auf Anwendungsebene

Von der Erkennung zur Untersuchung – ohne Kontextverluste

Secure Application erkennt nicht nur das Vorhandensein einer Bedrohung, sondern liefert Sicherheits- und Observability-Teams auch eine detaillierte Aufschlüsselung der Bedrohung aus Anwendungssicht. Nach der Erfassung werden direkt Warnmeldungen in Splunk Enterprise Security, Korrelationssuchen und Untersuchungs-Workflows angezeigt.

Sicherheitsteams können sofort Laufzeiterkenntnisse analysieren, darunter:

• Name des Anwendungsservice
• Metadaten des Angriffsereignisses
• Zugehörige Schwachstellen und CVEs
• Ausnutzbarkeitswerte von Cisco
• Stack Traces und aufgerufene Methoden
• Quell-IPs und Payload-Eigenschaften

Dank dieser umfassenden Kontextinformationen können Analysten direkt in die Analyse von Angriffen auf Anwendungsebene einsteigen – und wissen dabei nicht nur, dass etwas vorgefallen ist, sondern auch wie, wo und warum.

Splunk Enterprise Security: Anzeige eines relevanten Ereignisses in Log4J, das mit Daten aus Secure Application generiert wurde, mit Prioritätsbewertung und Kontextanreicherung

Die anwendungsorientierte Bedrohungssuche ist da

Mit Secure Application können die zuständigen Teams jedes Angriffsereignis zu seinem Ausführungspfad zurückverfolgen, sich ein Bild von den potenziellen Auswirkungen machen und das Ereignis mit anderen Infrastruktur-, Identitäts- oder Netzwerksignalen korrelieren, die in Splunk bereits vorhanden sind.

All dies ist möglich, ohne zwischen unterschiedlichen Tools zu wechseln, sodass Sicherheits- und Observability-Teams bei der Erkennung und Behebung von Bedrohungen nahtlos zusammenarbeiten und schneller denn je sein können.

Anzeige eines Log4J-Angriffs in Secure Application – mit Angriffsdetails wie Stack Trace, Servicebeeinträchtigungen und anfälliger Methode in Echtzeit

Splunk und Cisco: zusammen noch besser

Diese Integration belegt noch einmal die Stärken des kombinierten Sicherheitsökosystems von Cisco und Splunk. Während der Laufzeit von Secure Application erkannte Schwachstellen werden automatisch mit Ausnutzbarkeitsdaten aus dem Cisco Vulnerability Management (früher Kenna.VM) angereichert, damit die Teams schnellere und fundiertere Entscheidungen zu den nächsten Schritten treffen können.

Gemeinsam unterstützen Splunk und Cisco euch beim Übergang von bloßen Warnmeldungen und statischen Scans zu Echtzeit-Anwendungssicherheit mit Risikoinformationen.

Mehr digitale Resilienz im neuen Zeitalter von einheitlicher Sicherheit und Observability

Mit dieser Integration bietet Splunk Runtime Application Security für SOC-Analysten und Observability-Teams und ermöglicht eine enge Zusammenarbeit beim Erkennen, Untersuchen und Eindämmen von Bedrohungen – für mehr digitale Resilienz.

Durch das Zusammenführen von Anwendungstelemetrie und Sicherheitsanalysten können Unternehmen:

• Echtzeit-Angriffe auf hybride/lokale Apps während der Laufzeit erkennen
• Priorisierungen und Untersuchungen basierend auf Ausnutzbarkeit und Auswirkung auf die Anwendung durchführen
• Die teamübergreifende Zusammenarbeit beschleunigen, um Bedrohungen schneller einzudämmen

Möchtet ihr wissen, wie ihr euer Sicherheitsniveau mit dieser Integration optimieren könnt?

• Wendet euch an euren Vertriebsansprechpartner für Splunk Observability oder Security, um einen Demo-Termin zu vereinbaren.
• Informiert euch hier im Integrationsleitfaden über die technischen Details der Integration.
• Nehmt an der Cisco Live 2025 oder den Sessions der .conf25 teil oder schaut euch die Aufzeichnungen an.

Lasst uns Laufzeitbedrohungen stoppen – mit vereinten Kräften.

1- Swimlane 2024 Under Pressure: Is Vulnerability Management Keeping Up?
2 - Sonatype’s 8th Annual State of the Software Supply Chain Report.
3 -Ponemon Institute and IBM report, 2024.
4 - Cisco Security, 2020