Sicherheitsübersicht (Abwehr-Funnel)

Übersicht — was dieser Bildschirm leistet

Sicherheitsübersicht (/security) ist das Herzstück des Rollenbereichs Sicherheit. Der Bildschirm bringt die „verborgene Telemetrie“ an die Oberfläche, die InfraGuard bereits erfasst, bewertet und automatisch entschärft — die aber nie visualisiert wurde — und zwar als ein einziges Abwehr-Funnel-Narrativ.

Die Kernbotschaft passt in einen Satz: „Genau jetzt sperrt die automatische Abwehr aus KI + IDS feindliche Netze.“ Damit das glaubwürdig wird, zeigt der Bildschirm auf einen Blick:

Vierstufiger Abwehr-Funnel — Bedrohung (Rohereignisse) → Erkennung (Markierungen) → Regelsatz der automatischen Reaktion (Katalogregeln + JA3-Regelsätze) → Reaktion (Sperrungen). Jede Stufe trägt einen gemessenen Zählwert.
Anzeige der Bedrohungsintensität — ein konischer Farbverlaufsring, abgeleitet aus dem Sicherheitsscore (höher = gefährlicher).
Karten zur automatischen Reaktion — Bedrohungen/Stunde, Bedrohungen in 24 h, aktive Sperrungen /24, Sperrungen in 24 h.
Panel der JA3-Auffälligen — die auffälligsten JA3-Fingerabdrücke der letzten 6 Stunden (Kandidaten für Automatisierung / Botnetz).
Top-Bedrohungs-IPs + Feed der jüngsten automatischen Maßnahmen (das Narrativ „warum wir gesperrt haben“).
Bedrohungstrend — eine Sparkline über das gewählte Zeitfenster.

Alles ist schreibgeschützt — dieser Bildschirm sperrt oder bearbeitet nie etwas. Die tatsächlichen Aktionen finden in Bedrohungen, Sperrliste und Reputation und Erkennungen statt.

Hier gibt es keine „Domain“ — die Sicherheitsübersicht ist eine Zusammenfassung nach Rollenbereich (Sicherheitsbetrieb), nicht nach Web-TLD.

Wann Sie ihn verwenden

Zu Schichtbeginn, um die gesamte Sicherheitslage in 30 Sekunden zu erfassen.
Um der Geschäftsleitung oder Prüfern glaubwürdig zu erklären, dass die Sperrung tatsächlich wirkt (Funnel-Zählwerte + Automatisierungsanteil).
Um auf der Trend-Sparkline eine Bedrohungsspitze zu erkennen, dann eine verdächtige IP auszuwählen und in Bedrohungen / Erkennungen tiefer einzusteigen.
Um die erfassten JA3-Botnetze/-Scanner rasch zu überfliegen und zu den detaillierten Regelsätzen zu springen.

Aufbau

Oben — Bedrohungsintensität + Abwehr-Funnel

Bereich	Inhalt
Bedrohungsintensität (`t.ov.score`)	Der Sicherheitsscore als konischer Farbverlaufsring. Angezeigter Wert = `100 − score` (höher = schlechter). Untertitel: „höher = gefährlicher, basierend auf dem, was unbehandelt blieb“.
Abwehr-Funnel (`t.ov.funnel_title`)	Vier Stufenbalken, die sich von oben nach unten verjüngen, jeweils mit gemessenem Zählwert und Beschriftung.

Mitte — automatische Reaktion + Bedrohungstrend

Karte	Inhalt
Automatische Reaktion (`t.ov.resp_title`)	Vier Metrikkacheln: Bedrohungen/Stunde · Bedrohungen in 24 h · aktive Sperrungen /24 · Sperrungen in 24 h.
Bedrohungstrend (`t.ov.tseries_title`)	Eine SVG-Sparkline der IDS-Alarme, heruntergerechnet auf 30 Buckets, mit den Metadaten `Σ total · ▲ max/bucket-min` und einem Abzeichen für den Erfassungsverzug (`⏱ Nm`).

Unten — JA3-Auffällige · Top-Bedrohungs-IPs · jüngste automatische Maßnahmen

JA3-Sequenzanalyse (t.ov.ai_title) — die auffälligsten Quellen der letzten 6 Stunden als 3×3-Raster (bis zu 9 Karten). Jede Karte zeigt JA3-Vielfalt · TLS-Verbindungen · SNI-Vielfalt · Land/ASN/ISP · ein Abzeichen „gesperrt“ sowie einen Rotationsbalken und ein Verhaltens-Tag, das der Browser aus t.ov.ai_behavior wählt (es folgt damit der Sprache des Lesenden). Ein Klick auf eine IP öffnet das Reputations-Pop-up; die Regelsätze selbst liegen unter Erkennungen.
Top-Bedrohungs-IPs (t.ov.top_title) — Alarme · Schweregrad · verschiedene Signaturen · zuletzt gesehen · Sperr-Kennzeichen · Land.
Jüngste automatische Maßnahmen (t.ov.feed_title) — kürzlich gesperrte /24-Bereiche mit Land · Quell-Tag (Kitsune/Suricata/manuell) · Kurzbegründung · Zeitstempel.

Steuerelemente in der Kopfzeile

Zeitfenster-Umschalter: 1h / 6h / 24h (Standard 24h).
Umschalter LIVE / PAUSED: schaltet das automatische Abfragen im 30-Sekunden-Takt ein und aus.
Schaltfläche Vollbild: blendet die obere Navigation für einen Dashboard-Modus aus (ESC beendet ihn).
stamp: der Zeitpunkt der letzten Berechnung.

Anwendung

Lesen Sie oben die Anzeige der Bedrohungsintensität für das aktuelle Risikoniveau ab (größer = schlechter).
Lesen Sie den Abwehr-Funnel von oben nach unten und folgen Sie der Geschichte: „wie viele kamen herein (Bedrohung) → wie viele wurden markiert (Erkennung) → wie viele Regelsätze haben ausgelöst (automatische Reaktion) → wie viele wurden gesperrt (Reaktion)“.
Achten Sie auf Spitzen in der Sparkline des Bedrohungstrends. Ein großes ⏱ Nm-Abzeichen bedeutet, dass die Erfassung hinterherhinkt; interpretieren Sie die Zählwerte dann bezogen auf diesen Ankerzeitpunkt.
Wählen Sie eine verdächtige IP aus den JA3-Auffälligen / den Top-Bedrohungs-IPs und wechseln Sie zu Bedrohungen / Erkennungen für die tiefe Untersuchung, die Reputationsabfrage und die Sperrung.
Nutzen Sie den Feed der jüngsten automatischen Maßnahmen, um zu sehen, was die automatische Abwehr gerade gesperrt hat und warum.

Genaue Definition der Funnel-Stufen

Jeder Zählwert bezieht sich auf das gewählte Zeitfenster (1h/6h/24h). Erzeugt werden sie von SecurityOverviewService::compute().

Stufe	Schlüssel	Formel	Quelle
Bedrohung	`threats`	`alertCount + nginxSuspiciousCount`	`suricata_alert_ct` + `nginx_meta_ct` (is_suspicious=1)
Erkennung	`detections`	`distinctAlertIps + kitsuneBlockedCount`	verschiedene `src_ip` (suricata_alert_ct) + `kitsune_detail_log` (is_blocked=1)
Regelsatz der automatischen Reaktion	`rulesets`	`active rulesets + firing rulesets`	`infr_sec_ruleset` (status=active) + die auslösenden aus dem Katalog mit 44 Regelsätzen
Reaktion	`response`	`blockedCount`	`blacklist_info` (created_at ≥ Zeitfenster)

Der Zählwert „Regelsatz der automatischen Reaktion“ ist NICHT die Anzahl der Rohsignaturen (sid). Er wird in derselben Einheit „Regelsatz“ gezählt wie die Regelsatz-Bibliothek (RulebookService wird wiederverwendet), überschreitet daher nie den Katalog mit 44 Einträgen und stimmt mit dem Bildschirm Regelsätze überein.

Definition der Metriken auf den Karten zur automatischen Reaktion

Metrik	Bedeutung	Berechnung
Bedrohungen/Stunde	`threats_hr`	ankerbasierte 24-h-Alarme ÷ 24
Bedrohungen in 24 h	`threats_24h`	ankerbasierter 24-h-`alertCount`
Aktive Sperrungen /24	`active`	Anzahl der Einträge in `blacklist_info` mit is_use=1
Sperrungen in 24 h	`blocks_24h`	`blockedCount` der letzten 24 h

Der Abschnitt zur automatischen Reaktion enthält außerdem Texte für „Isolierung (automatisch)“ und „internationale Zusammenarbeit (manuell)“ (resp.isolate / resp.coop). Diese beiden gehören jedoch zu einer späteren Phase und werden erst gezählt, wenn das Reaktionswerkzeug ausgerollt ist — heute werden nur die vier obigen Metriken tatsächlich berechnet.

Formel der Bedrohungsintensität (Sicherheitsscore)

Die Formel gehört Services\Security\PostureService (überarbeitet am 2026-09-04). Es ist dieselbe Zahl, die die Karte „Grundlage der Sicherheit“ in Overview zeigt:

score  = weighted mean of ids, ai, web, rep, tls, fw   # each metric 0..100
metric = 100 − 45 × open / (total + floor)             # open = 0  ->  metric = 100
displayed threat intensity = 100 − score               # 0..45, higher = worse

open = was nicht gestoppt werden konnte, total = alles dieser Art, was beobachtet wurde (Sperrungen eingeschlossen), floor = Glättungskonstante, damit eine kleine Stichprobe das Verhältnis nicht sprengt.
Ein Rest von null ergibt für die Metrik 100 — wie stark auch angegriffen wurde: alles abzuwehren ist kein Grund für Abzüge.
Als behandelt zählen sowohl blacklist_info (durchgesetzt) als auch blacklist (vorgemerkt). Die eigenen Netzbereiche werden aus Zähler und Nenner gleichermaßen entfernt.
Die alte Formel zog Sperrungen aus kitsune_detail_log und verdächtige Anfragen aus nginx_meta_ct ab, sodass der Score sank, je erfolgreicher die automatische Abwehr arbeitete.
Der Score wird auf einen Mindestwert von 55 begrenzt (= Bedrohungsintensität maximal 45).

Datenquellen

Alle Zählwerte zu Bedrohungen/Erkennungen/Sperrungen lesen die großen Telemetrietabellen auf der Alt-Verbindung legacy_glory, und zwar schreibgeschützt. Die Zugangsdaten stammen ausschließlich aus config('database.connections.legacy_glory') (= .env) und stehen nie fest im Code.

Tabelle	Verbindung	Verwendung
`suricata_alert_ct`	legacy_glory	IDS-Alarme (Bedrohung, Erkennung, Top-Bedrohungs-IPs, Trend). Index alert_ts
`nginx_meta_ct`	legacy_glory	verdächtige Web-Anfragen (is_suspicious). idx_suspicious
`kitsune_detail_log`	legacy_glory	ML-Anomaliesperrungen (is_blocked)
`suricata_tls_ct`	legacy_glory	JA3-Fingerabdrucksequenzen (JA3-Auffällige)
`blacklist_info`	legacy_glory	automatische/manuelle Sperrungen (/24-CIDR). Reaktion, aktive Sperrungen, Feed
`ip_info_loop`	legacy_glory	Anreicherung mit Geo/ASN/ISP (`ipEnrichment`)
`infr_sec_ruleset`	App (MAIN)	Regelsätze für JA3-Sequenzen (Anzahl aktiver Regelsätze + Zusammenfassung)

Disziplin bei Leistung und Aktualität

Abfragen verwenden ausschließlich enge Zeitfenster + Indizes + LIMIT (um langsame Abfragen auf riesigen Tabellen zu vermeiden). SecurityRepository kapselt sie mit dem Query Builder und Parameterbindung.
Anker = Zeitpunkt des letzten Alarms (latestAlertTs() = MAX(alert_ts)). Wenn now() den Daten vorausläuft, weil eve_ingest im Rückstand ist, werden Zeitreihe und 24-h-Statistik hier verankert, um den „leeren Schwanz“ zu entfernen. Ein Verzug von mehr als 5 Minuten wird als Abzeichen ⏱ Nm angezeigt.
30-Sekunden-Cache: Die Ergebnisse werden 30 Sekunden lang unter dem Schlüssel infr:sec:ov:{range} zwischengespeichert, passend zum 30-Sekunden-Abruf. Einzelne Lesefehler fängt safe() ab, sodass ein defekter Bereich nicht den gesamten Funnel blockiert.

SecurityScope — automatischer Ausschluss des eigenen Netzes

Die Listen der Top-Bedrohungs-IPs und der JA3-Auffälligen schließen Ihr eigenes Netz automatisch aus, damit Ihre Server nicht als Angreifer erscheinen (ohne feste Werte im Code).

SecurityScope::excludePrefixes() führt die registrierten Instanzen (öffentliche/private/NIC-IPs aus infr_instance → /24-Präfix) mit der Whitelist der Betriebsrichtlinie (internal_networks — IPs, Präfixe, CIDRs) zu einem Präfix-Array zusammen.
Diese Präfixe werden in der Abfrage als src_ip NOT LIKE 'prefix%' angewendet (parametergebunden).
Der Abgleich wird 60 Sekunden zwischengespeichert und beim Speichern der Betriebsrichtlinie verworfen.

e.g. register 203.0.113.10 in infr_instance → prefix "203.0.113." auto-excluded
     add 10.0.0.0/8 to OpsPolicy internal_networks → CIDR → "10." coarse prefix excluded

Wenn Ihre eigenen Server immer wieder unter Bedrohungen/Auffälligen auftauchen, registrieren Sie diese IPs unter Assets ▸ Instanzen oder nehmen Sie sie in die Whitelist internal_networks in der Betriebsrichtlinie auf. Sie verschwinden dann automatisch.

Zugriff

Der gesamte Bereich /security/* einschließlich dieses Bildschirms ist durch die Middleware infr.level:2 geschützt — für den Zutritt benötigen Sie user_level ≥ 2.
Ein Konto demo (1) hat daher keinen Zugriff auf Sicherheitsdaten, während staff (5) und admin (10) sie einsehen können.
Die Sicherheitsübersicht ist vollständig schreibgeschützt — es gibt keine Schreib-, Sperr- oder Bearbeitungsaktionen, daher braucht sie weder eine Step-up-Prüfung noch Audit-Protokollierung. Das eigentliche Sperren und Freigeben erfolgt in Sperrliste und Reputation (Schreiben ab Stufe 2 + Audit).

Fehlersuche und FAQ

F. Alle Funnel-Zählwerte sind 0. Möglicherweise liegen im gewählten Zeitfenster (1h/6h/24h) keine Daten vor, oder die Verbindung legacy_glory ist ausgefallen. Weiten Sie auf 24h aus; ist das Verzugs-Abzeichen ⏱ sehr groß, hat ein Collector (eve_ingest / kts_tx / srct_tx) angehalten und die Daten sind veraltet.

F. Die IP unseres eigenen Servers erscheint unter den Top-Bedrohungen/Auffälligen. Der Ausschluss des eigenen Netzes erfasst sie nicht. Registrieren Sie diese IP unter Instanzen oder nehmen Sie sie in internal_networks in der Betriebsrichtlinie auf (SecurityScope schließt nach /24-Präfix aus).

F. Die Zahl beim „Regelsatz der automatischen Reaktion“ weicht von der Regelsatz-Bibliothek ab. Die Regelsatz-Stufe lautet active rulesets + firing rulesets. Aktive Regelsätze für JA3-Sequenzen (infr_sec_ruleset active) werden hinzugezählt, sodass der Wert die reine Auslösezahl des Katalogs übersteigen kann.

F. Ein Regelsatz sagt action=block, aber es wurde nichts gesperrt. Dieses Feld ist eine Empfehlung, keine Anweisung. Die automatische Sperrung berechnet die JA3-Rotation direkt aus suricata_tls_ct und liest infr_sec_ruleset nie; tatsächlich gesperrt wird über Sperrliste oder durch den Autoblock-Scheduler. Siehe Erkennungen.

F. Die Bedrohungsintensität ist immer niedrig (≤45). Das ist so vorgesehen. Der angezeigte Wert ist 100 − score, und der Score wird auf einen Mindestwert von 55 begrenzt, sodass die Bedrohungsintensität im Bereich 0..45 liegt.

F. Die Zahlen schwanken alle 30 Sekunden leicht. Das ist die Kombination aus 30-Sekunden-Abruf und 30-Sekunden-Cache, die bei jedem Abruf über das jeweils neueste Zeitfenster neu rechnet. Schalten Sie LIVE aus, um die automatische Aktualisierung zu stoppen.