Chronicle
Chronicle ist ein Sicherheitsprodukt von Google, das riesige Mengen an Protokolldaten aus dem Netzwerk eines Unternehmens sammelt und nach Spuren von Angreifern durchsucht. Heute läuft es unter dem Namen Google Security Operations und gehört zur Google Cloud.
Jeder Computer in einem Unternehmen schreibt ständig mit, was er tut. Wer hat sich angemeldet, welche Datei wurde geöffnet, welche Internetadresse wurde aufgerufen. Diese Mitschriften heißen Protokolle oder Logs. In einem großen Konzern kommen davon jeden Tag Milliarden von Zeilen zusammen. Chronicle ist ein Dienst von Google, der all diese Zeilen einsammelt, jahrelang speichert und automatisch nach Hinweisen auf einen Angriff durchsucht. Das Produkt entstand 2018 in Googles Ideenschmiede X und heißt seit 2023 offiziell Google Security Operations.
Warum Angreifer oft erst Monate später auffallen
Einbrüche in Firmennetze werden selten sofort bemerkt. Studien nennen für die Zeit zwischen Eindringen und Entdeckung häufig mehrere Wochen bis Monate. In dieser Zeit bewegt sich der Angreifer im Netz und sammelt Daten. Die Spuren dafür stehen fast immer in den Protokollen. Nur schaut sie niemand an, weil es viel zu viele sind.
Dazu kommt ein Kostenproblem. Klassische Sicherheitssysteme rechnen nach der Datenmenge ab, die man ihnen gibt. Unternehmen löschen ihre Protokolle deshalb oft schon nach 30 oder 90 Tagen. Wenn dann eine neue Angriffsmethode bekannt wird, fehlen genau die alten Daten, in denen man nachsehen müsste.
Chronicle setzte hier an. Der Preis richtet sich nicht nach der Datenmenge, sondern grob nach der Größe des Unternehmens. Protokolle werden standardmäßig ein Jahr aufbewahrt. Wird im März eine Angriffsmethode aus dem Vorjahr bekannt, kann man rückwirkend prüfen, ob man selbst betroffen war.
Vom Rohprotokoll zur Warnmeldung
Der erste Schritt ist das Einsammeln. Firewalls, Laptops, Server und Cloud-Dienste schicken ihre Protokolle an Chronicle. Jedes Gerät schreibt sie in einem anderen Format. Chronicle übersetzt alles in ein einheitliches Schema, damit sich die Daten überhaupt vergleichen lassen. Dieser Schritt heißt Normalisierung und ist die eigentliche Fleißarbeit.
Danach werden die Ereignisse verknüpft. Eine verdächtige Internetadresse aus einer öffentlichen Warnliste wird gegen alle gespeicherten Verbindungen gehalten. Chronicle zeigt dann, welcher Rechner sie wann kontaktiert hat, und zwar über den gesamten gespeicherten Zeitraum. Google wirbt damit, dass solche Suchen in Sekunden statt in Stunden fertig sind. Möglich macht das die gleiche Infrastruktur, auf der auch die Google-Suche läuft.
Die dritte Ebene sind Regeln und KI. Sicherheitsleute schreiben Erkennungsregeln in einer eigenen Sprache namens YARA-L, etwa: Meldung, wenn sich ein Konto innerhalb einer Stunde aus zwei Ländern anmeldet. Seit 2023 kommt Gemini dazu, Googles Sprachmodell. Es fasst Vorfälle in verständlichen Sätzen zusammen und wandelt eine getippte Frage in eine Suchabfrage um. Wichtig ist die Abgrenzung: Ein Virenscanner schützt ein einzelnes Gerät, Chronicle ist die Auswertung über alle Geräte hinweg.
Wer Chronicle einsetzt und wie es im Markt steht
Als Privatperson wird man Chronicle nie bedienen. Das Produkt richtet sich an die Sicherheitsabteilungen großer Organisationen, also Banken, Versicherungen, Krankenhausbetreiber oder Behörden. Dort sitzen Teams in sogenannten Security Operations Centers und arbeiten Warnmeldungen ab. Chronicle ist deren Arbeitsoberfläche.
In Wirtschaftsnachrichten taucht der Name meist in einem Zusammenhang auf: dem Wettbewerb um den Markt für Sicherheitsplattformen. Die Fachbezeichnung dafür ist SIEM, kurz für Security Information and Event Management. Konkurrenten sind Microsoft Sentinel, Splunk und CrowdStrike. Googles Kauf des Sicherheitsunternehmens Mandiant im Jahr 2022 für rund 5,4 Milliarden Dollar diente auch dazu, Chronicle mit aktuellem Wissen über echte Angreifergruppen zu füttern.
Ein verbreiteter Irrtum ist, dass so ein System Angriffe verhindert. Das tut es nicht. Chronicle blockiert nichts, es beobachtet und meldet. Blockiert wird an anderer Stelle, etwa von der Firewall. Und die Qualität hängt vollständig davon ab, welche Daten man einspeist. Wer eine wichtige Datenquelle nicht anschließt, sieht dort auch nichts.