Elastic bringt integriertes SIEM und EDR in Google Distributed Cloud Air-Gapped

Was Elastic und Google Cloud auf den Markt bringen

Elastic hat nach eigenen Angaben seine Architektur für Security Information and Event Management (SIEMv2) und Endpoint Detection and Response (EDRv2) der nächsten Generation auf dem Operator Infrastructure Release (OIRv2) von Google Distributed Cloud gestartet. Gemeinsam mit Google Cloud habe das Unternehmen einheitliche Security Operations direkt in die Plattform eingebettet.

Elastic beschreibt den Schritt als Wechsel von punktuellen, von Menschen getragenen Prüfungen hin zu einer kontinuierlichen Absicherung von Workloads, die vollständig innerhalb der Air-Gapped-Umgebung stattfindet. Indem fragmentierte Altwerkzeuge in einer einzigen Architektur zusammengeführt würden, sinke der Aufwand für die Verwaltung getrennter Systeme, der Ressourcenbedarf auf den Hosts der Infrastrukturknoten gehe zurück, und eine einheitliche Zero-Trust-Strategie für Google Distributed Cloud werde unterstützt, so das Unternehmen.

Zudem betont Elastic, die Integration sei nativ. Souveräne Kunden müssten daher keine eigenen Log-Forwarder oder störanfälligen Konnektoren zusammenbauen.

Das Problem: eine Geschwindigkeitslücke in getrennten Netzen

Elastic stellt den Start in den Kontext einer von ihm so genannten kritischen Geschwindigkeitslücke. Laut dem Unternehmen setzen Angreifer zunehmend fortgeschrittene Automatisierung ein, um Aufklärung zu beschleunigen, statische Signaturen zu umgehen und schnelle Angriffe auf kritische Infrastrukturen, Software-Lieferketten und über Insider-Wege durchzuführen. Wenn Angriffe statt Tagen nur noch Minuten dauern und Verteidiger sich auf manuelle Triage über fragmentierte Altwerkzeuge verlassen, geraten sie ins Hintertreffen.

Für souveräne und stark regulierte Kunden sei der Betrieb in Air-Gapped-Umgebungen eine grundlegende Vorgabe für Einsatzsicherheit, strikte Datenhoheit und die Einhaltung regulatorischer Vorgaben, erklärt Elastic. Die Isolation begrenze zwar die externe Angriffsfläche, doch diese Organisationen benötigten weiterhin lokale Sicherheitsanalysen, die Korrelation von Live-Telemetrie und fortlaufende Bedrohungsinformationen, um Kompromittierungen der Lieferkette, fortgeschrittene Angreifer und Insider-Bedrohungen zu erkennen.

Sicherheitsteams in getrennten Umgebungen hätten bislang zahlreiche eigenständige Werkzeuge für Log-Management, Endpunkterkennung, Host-Forensik und Incident-Tracking betrieben, so Elastic. Das führe zu Sichtbarkeitslücken und hohem operativem Aufwand. Google Distributed Cloud Air-Gapped biete dagegen lokal vor Ort die gleiche Rechenleistung wie in der Cloud und unterstütze damit die fortgeschrittene Korrelation von Telemetriedaten, strikte Datenhoheit und kontinuierliche Compliance.

Die vier Funktionsbereiche

Elastic nennt vier Bausteine der Zusammenarbeit:

• SIEM: nimmt umfangreiche Telemetriedaten aus Infrastruktur, Netzwerk und Audit auf, normalisiert sie und korreliert sie in einem gemeinsamen Schema. Verteidiger erhalten vorgefertigte Erkennungsregeln, die auf MITRE ATT&CK abgebildet sind, Verhaltensanalysen und schnelle Untersuchungsansichten in einer einzigen Konsole.
• EDR: bietet Sichtbarkeit auf Kernel-Ebene und verhaltensbasierten Schutz über einen einzigen einheitlichen Agenten. Er soll fortgeschrittene Speicher-Exploits, polymorphe Malware und laterale Bewegungen erkennen und stoppen, bevor sie ausgeführt werden. Den geringeren Ressourcenbedarf im Vergleich zu zahlreichen Alt-Agenten bezeichnet Elastic als zentrales Unterscheidungsmerkmal.
• Threat Intelligence: bringt kuratierte Erkenntnisse aus der Praxis, Indikatoren für Kompromittierung sowie Taktiken, Techniken und Vorgehensweisen von Angreifern, die Mandiant-Experten entwickelt haben, in vollständig getrennte Umgebungen.
• SecOps Foundation: liefert integriertes Case-Management, Pläne für die Reaktion auf Vorfälle, Dokumentation, Runbooks und Standardarbeitsanweisungen, ergänzt durch Mandiant-Serviceangebote für eine schnellere Einführung.

Was das für souveräne und regulierte Kunden bedeutet

Elastic zufolge soll der Start souveränen Staaten, Verteidigungsbehörden und regulierten Organisationen helfen, von fragmentierter, reaktiver Überwachung zu einer einheitlichen, automatisierten Abwehr zu wechseln. Für diese Kunden lautet das praktische Versprechen: weniger getrennte Werkzeuge in einem Netz, das sich nicht auf externe Dienste stützen kann.

Auf dem Google Public Sector Summit in Washington, D.C., am 20. Oktober 2026 war eine Demo geplant. Google und Elastic wollten dort zeigen, wie Elastic Security Google-Distributed-Cloud-Air-Gapped-Umgebungen unterstützt. Interessierte Kunden verweist Elastic außerdem an sein Vertriebsteam und an das Google Distributed Cloud Zero Trust Whitepaper von Google.

Das Unternehmen fügt den üblichen Vorbehalt hinzu: Veröffentlichung und Zeitpunkt der beschriebenen Funktionen lägen allein im Ermessen von Elastic, und derzeit nicht verfügbare Funktionen könnten sich verzögern oder gar nicht erscheinen.