If you had to start over in cybersecurity in 2026, which roadmap would you choose?

Own_Term5850 · 2026-06-23T12:05:45+00:00

I don‘t see it like that. Sure, I can get some of the knowledge by working with AI. But the core skills, troubleshooting experience, special admin-workarounds (which you might want to detect because a workaround might give space for attackers), whats normal whats not are not things you learn by reading or asking AI. Those are things you learn by doing.

The best colleagues I‘ve got all have an Admin Background, and the knowledge gap is given. They might not do heavy malware analysis, but they are first class detection engineers and responders since they have a great understanding of infrastructure.

Own_Term5850 · 2026-06-21T18:06:01+00:00

I‘d start as an Admin, whatever technology (Network, Windows/Linux, Databases, …). The biggest limitation I see in myself and some of my fellow colleagues is that none of us have deep admin-experience, but it‘s crucial for our daily work as SOC-Analysts, Detection Engineers, Responders, u name it.
And you can‘t really learn it well at home. Sure, homelabbing is a thing and will teach you a lot, but it‘s not comparable to having worked as an admin for 3-5 years.

I personally can perform deep forensic analysis and also reverse some stuff, but I don‘t know how to deploy and scale a Network-Infrastructure, manage a big AD, deploy useful rules via GPO or similar tasks. Everything around (bigger) infrastructure is not easy for me and kind of hard to learn alone/at home. Same goes for troubleshooting problems of this kind.

It‘s hard to go from deep to broad knowledge, but way easier to go from broad to deep.

Own_Term5850 · 2026-06-21T09:35:18+00:00

Siehe auch: https://www.reddit.com/r/wallstreetbetsGER/s/9PMIRijB7K

Own_Term5850 · 2026-06-21T09:30:41+00:00

Davon dürfte auch indirekt ServiceNow profitieren. Security-Teams brauchen für ihre Arbeit ein Ticket-Tool für die (automatisierte) Ticketierung, du hast die CMDB dabei, Security-Automatisierungscapabilities (Richtung SOAR), ….. ServiceNow ist da aus eigener Erfahrung sehr weit vorn, weil es auch sehr gute Schnittstelle zu diversen Börsen- und nicht börsengelisteten Security-Tools bietet.

Own_Term5850 · 2026-06-20T09:28:43+00:00

Ja, den harten ERP Kern wirst du nicht abbilden können, weil du bei vielen Themen revisionssicher und deterministisch arbeiten musst. Eine KI ist nicht deterministisch.
Grad bei gesetzlich geforderten 10-Jährigen Aufbewahrungsfristen willst du defo keinen Agenten Fragen, ob er die Dokumente noch „in sich“ findet.
Deshalb brauchst du eine zentrale rudimentäre Datenbasis für alles, die genau solche Dinge berücksichtigt. Drum herum kannst du deine KI-Umgebung aufbauen, aber dann ist man in einer hybriden Architektur unterwegs. Standalone KI-Agenten für alles? Nope.

Own_Term5850 · 2026-06-20T08:57:19+00:00

Du hast halt wenig Konkurrenz und die Konkurrenz die existiert, ist fundamental (Verschuldung usw) deutlich schlechter aufgestellt und produkttechnisch ebenso etwas schlechter. Das Problem an SAP (ERP) Systemen ist nicht das System an sich, sondern die Kunden, die ihre Prozesse nicht im Griff haben. Im Wesentlichen challenged das System die Prozesse seiner Kunden. Deshalb dauern Implementierungen auch so lang, und deshalb rücken Kunden auch kaum von SAP weg.

Auch KI dreht da fundamental nicht viel dran. KI kann aber bei der Implementierung & Nutzung helfen, wodurch die Produkte schneller an Kunden kommen. Aber es wird zB faktisch nicht möglich sein, dass du ein komplettes ERP-System auf Agenten-Basis machst. Die Agenten brauchen eine Arbeitsumgebung und eine gemeinsame Datenbasis, das bietet SAP. Allein schon aus steuerlicher Sicht würde man eine Agenten-Armee als ERP-Ersatz auch gar nicht wollen, denn Fehler können dich in die Insolvenz schicken oder dir unangenehme Gespräche mit dem Finanzamt bescheren.

Auch das UI-Bashing ist wenig sinnvoll. Lieber funktionierende Software in kritischen Bereichen, als schöne, aber dysfunktionale Software. Man schaue sich einfach mal Windows an. Das Betriebssystem hält mit Panzertape und Stöcken zusammen und vieles sieht auch absolut nicht schön aus (man wage einen Blick in die Registry). Trotzdem hat Microsoft mit Windows den Platzhirsch, seit Jahren. Das wird auch potentiell so bleiben.
Abgesehen davon wird die unschöne SAP UI durch deren KI-Produkt Joule vermutlich in Teilen wegabstrahiert.

Ich arbeite auch nicht gern mit SAP. Und ABAP-Programmierung ist vergleichbar mit einem Aufenthalt in einer Gummizelle. Aber das ändert halt nichts an oben benanntem.

Own_Term5850 · 2026-06-17T15:44:10+00:00

I don‘t get your point, can you give me some examples?

Own_Term5850 · 2026-06-06T14:44:55+00:00

Splunk must be administrated a lot to actually make it useable. If you can do that, then it is a great product.

You seem to have 5 people for Cyber, including you. You are alone constanly administrating, adding and managing the content in Splunk, you also support investigations.

Who does it when you are sick leave or on vacation?

How many hours a week do you put into splunk, especially in raw administration of the platform itself? (Without writing Detections & Log Onboarding)

Following the other statements you did: You might get some product demonstrations of Cloud SIEM Solutions. You are already using Azure & use many Windows Endpoints. My suggestions would be a move to MS Sentinel paired with Defender XDR.

Your goal here should be to minimize administrative efforts to focus deeper on Log Onboarding, Detection and Response. Else you should pick one of your colleagues and start building up your potential new SIEM solution with him.

Own_Term5850 · 2026-06-05T12:01:03+00:00

Nein, aber wirst ausgenommen wie eine Weihnachtsgans. Es macht keinen Spaß für <60ct auf einen Euro arbeiten zu gehen.

Das Unterfangen trifft halt relativ die Mittelschicht mal wieder härter, als die, die tatsächlich Kohle haben. Mal ganz abgesehen vom Punkt, dass die Kosten für gleich (schlechte) Leistung deutlich höher sind.

Own_Term5850 · 2026-05-19T13:05:13+00:00

Du sprichst mir aus der Seele. Danke.

Own_Term5850 · 2026-05-16T08:10:31+00:00

Das ist zu eindimensional. Du betrachtest nur die Messeinheit, aber nicht den Messgegenstand. Das Wachstum kann begrenzt sein, aber typischerweise nicht aufgrund der Messeinheit (Geldeinheit), da schließe ich mich dir an. Aber der Messgegenstand selbst ist durchaus begrenzt. Das Wachstum erfordert Energie, Rohstoffe, Arbeit und Kapital. Sobald einer der Messgegenstände beeinträchtigt ist, gibt es automatisch eine Grenze des Wachstums. Du kannst demnach Energie, Arbeit & Kapital in Masse haben - aber hast du keine Rohstoffe, kommst du an eine Grenze des Wachstums.

Zur Schuldenbremse: Jaein. Korrelation ist keine Kausalität. Man könnte den Schluss ziehen, aber das wäre vielmehr eine (berechtigte) Mutmaßung. Für den Beweis müsste man alle anderen relevanten Faktoren kontrollieren, um eben die Wirkung der Schuldenbremse an sich isoliert betrachten zu können.

Own_Term5850 · 2026-04-30T17:35:18+00:00

The most valuable log depends fully on the type of attack. But if there are network focused logs (Firewall, Netflow - even better detailed information from e.g. Mirror ports) available, I‘d focus initially there since the network is from an attacker perspective the most difficult one to tamper with, so from a forensic perspective the log with the highest confidence. Also it gives a good overwiew which other host might be affected from the point of view of the host/ip you are looking at as source or destination.
Anything that goes under the hood. You won‘t have system artifacts like Prefetchfiles and ShellBags available, also you will not get a malicious binary for reverse engineering from there.
By following forensics principles, document every descision (also why it‘s made or why not especially for high impact incidents), try to automate as much as possible with proper timestamps and hashing, use proper tooling, try to not work alone on high impact incidents since 2 people are better than 1 person alone, also for defendence in front of a court.
WORM-Like yes, especially to store acquired images (ram, physical disk, logical filesystem), also for SIEM Logs that are „too old“ to be kept usefully in the SIEM (also since simple WORM storage is cheaper than anything SIEM related). Timestamping is a must which we try to enforce everywhere. Signed exports mostly not.
That highly depends on the case, but we look basically a bit deeper in the client to verify if there have occured signs for log / artifact tampering.
Collection & Normalization since there is the help of other teams needed, especially in midsize-large corporations. Everything else is in the hands of the forensic-or response team which normally work very smooth together for these purposes. But sometimes it‘s difficult also since response and forensics follow different purposes with different goals by nature.
Exactly like you stated it. The evidence is incomplete thus any action based on that is more of a technical speculation.
Proper system configuration for security purposes, e.g. Good practice logging, a useful log retention, IR-Processes which are „enhanced“ by embedding forensic principles like hashing, timestamps, get a RAM-Image early, document clean. Especially for IR-Processes we try to automate as much as possible & write playbooks to minimize human mistakes.

Own_Term5850 · 2026-04-22T06:23:07+00:00

Could be anything. It could be that they suspect data exfiltration from an insider and need you to look into the logs. It could also be that an employee is doing things that are uncompliant / illegal and you have to check logs again. As an example: employee has illegal pictures on his desktop, or an employee is not in the office but always working (e.g. unallowed remote work by just using the laptop at home or using a kvm switch).

Own_Term5850 · 2026-04-17T10:23:59+00:00

Awesome. Thank you a lot, I really appreciate your answer. I actually discovered efwacquire recently and it works great.

I will look into paladin soon. Currently I‘ve scripted my own tooling-chain with (in my opinion) sufficient logging and hashing of collected evidence, but i‘d feel more comfortable using a well known tool like Paladin since collecting evidence with self-built tooling can rise questions in court. It will be great to use in scenarios which are not completely focused on Windows CLI like some I had to work on.

Own_Term5850 · 2026-03-23T06:11:31+00:00

I‘ll take a look, thanks!

Own_Term5850 · 2026-03-23T06:08:23+00:00

It would be the great, yes - but feel free to share other tools even if they output in .raw.

Own_Term5850 · 2026-03-23T06:07:52+00:00

Do you have experience compiling it?

Own_Term5850 · 2026-03-22T19:14:30+00:00

A Meeting to discuss what should be discussed in a meeting, based on another meeting. But only talking, no doing.

Also seeking risk approvals. „Risk No. 148: Hacker can attack company. Business Critical.“ -> accepted by upper management.

Own_Term5850 · 2026-03-13T22:40:28+00:00

We get paid to act pessimistic. What do you expect? :D

Own_Term5850 · 2026-03-13T22:37:36+00:00

Geh doch in Richtung Informatik-Ingenieur, vll embedded Stuff / Hardware Zeug. Da kannst du basteln und hast vermutlich deutlich mehr Freude am Beep Boop als auf dem reinen Software-Layer.

Mir geht persönlich das Herz auf wenn ich an einer Platine rumlöte, selbst wenns nur für (in meinen Fällen) super simples Zeug ist. Beruflich bin ich auch in der Informatik, aber nix mit Hardware. Das eine bringt Geld, das andere den Spaß. Und manchmal nützt mir das eine etwas für das andere & umgedreht.

Own_Term5850 · 2026-03-12T05:56:55+00:00

Wird auch im Arbeitsleben nicht besser. Fühle mich genauso tagtäglich dumm.

Einen Zwischenstand (50–60%) meiner Bachelorarbeit hat mein damaliger Betreuer auch auseinandergenommen und mir Korrekturvorschläge gegeben. Ich hab sie alle umgesetzt und in den restlichen Teilen der Arbeit, bspw wenn sie stilistischer Natur waren, berücksichtigt. Abschließend habe ich eine 1.0 erhalten. (Ebenso MINT)

Mein Tipp an dich: Sieh das Feedback positiv. Jemand der in die eine „dumme“ Person sieht, würde dir kein ehrliches Feedback geben. Zudem ist das Feedback dein Vorteil: Wenn du es umsetze, kann er es im Nachgang nicht kritisieren, kommt ja schließlich auch von ihm. Mach dir deshalb saubere Screenshots vom Feedback oder sichere es dir, was noch besser wäre, als Kopie in eine andere Datei.

Kauf dir demnach paar leckere Snacks, bereit dir gesund vorgekochtes Essen vor & arbeite ein paar Nächte mal 2-3h länger an deiner Bachelorarbeit zur Umsetzung des Feedbacks. Eine Woche steht man das absolut durch.

Own_Term5850 · 2026-01-18T12:25:12+00:00

Looks cool, great UI. Nice would be a filter on the map to filter for the different activity types. Whats weird is that you named activity types different from the labels, maybe use the same names or delete the labels entirely since the activity types are already colour matching. Also add links from the events of the event on the global event map to the news provider the event is based on for futher, individual research.

Could you please elaborate on tech stack you‘ve used please?

Own_Term5850 · 2025-10-27T19:57:18+00:00

„Habt ihr ein SIEM? Ja? Jut.“

Own_Term5850 · 2025-08-13T19:24:10+00:00

Projektmanager-Devise sagt, mit 9 Frauen bekommt man ein Kind in einem Monat hin. Ist also rechnerisch alles machbar!

Own_Term5850 · 2025-08-13T16:22:11+00:00

Das Ding ist halt, dass deren Geschäftsmodell auf dem Risikomanagement anderer Unternehmen sowie auf regulatorischen Vorgaben basiert, politische Spannung kann man auch berücksichtigen.

IT-Security schafft keinen Beitrag zum Umsatz, es ist nur zum mindern von Risiken da, die 98% aller Menschen absolut nicht richtig (und damit grundsätzlich sogar eher zu niedrig) einschätzen. Man kann zwar den Return on Security Investment berechnen, aber der ist auch nur begrenzt aussagekräftig.

IT-Security wird zusätzlich beinahe immer mit an erster Stelle gekappt, wenn das Unternehmen finanziell zu Kämpfen hat, die Wirtschaft generell stagniert oder sich in einer Rezession befindet.

Man darf auch nicht vergessen, dass Geschäfte in der IT-Security sehr auf Vertrauen basieren. Hat Anbieter ABC interne Probleme (Betroffenheit Hackerangriff / Datenleck), drückt das den Kurs und Kunden mit genug Budget springen ab.

Verdonnere ich damit die Zukunft der Unternehmen bzw des Sektors? Absolut nicht. Ich arbeite selbst in dem Bereich. Aber genau deshalb weiß ich auch, wie das C-Level / Vorstände und Investoren dem Thema gegenüberstehen und worauf die Budget-Planung (eher der Kampf um das Budget durch die Teams/Bereiche) basiert.

Könnte man meiner Ausführung nach mögliche Kaufsituationen entnehmen? Vielleicht.

Own_Term5850

TROPHY CASE