Paladin ist die Sicherheits- und Veränderungsbeobachtung hinter Argio. Das System sammelt technische Zustände aus verschiedenen Quellen, erkennt relevante Änderungen und ordnet sie als Befund, Fall oder Vorfall ein. Sein Zweck besteht nicht darin, möglichst viele Meldungen zu erzeugen. Paladin soll erklären, was sich verändert hat, weshalb es wichtig ist und welche Reaktion angemessen wäre.

Damit schliesst Paladin eine Lücke zwischen Monitoring, Inventar, Schwachstelleninformationen und dem tatsächlichen Betrieb.

Weshalb einzelne Alarme nicht genügen

Ein klassisches Monitoring erkennt, dass ein Messwert einen Grenzwert überschreitet oder ein Dienst nicht mehr antwortet. Ein Inventar kennt Geräte und Softwarestände. Ein Schwachstellenfeed meldet eine neue CVE. Jede dieser Quellen sieht einen Ausschnitt.

Für eine belastbare Beurteilung braucht es den Zusammenhang:

  • Welches System und welcher Kunde sind betroffen?
  • Ist der beobachtete Stand vollständig und aktuell?
  • Passt die gemeldete CVE überhaupt zur installierten Version und Exposition?
  • Trat gleichzeitig eine weitere Änderung auf?
  • Handelt es sich um eine geplante Wartung, eine harmlose Abweichung oder einen Sicherheitsvorfall?
  • Wurde der Zustand später wiederhergestellt?

Paladin verbindet diese Hinweise, ohne Unsicherheit als Gewissheit auszugeben. Fehlen Inventar, Version oder vollständige Quelldaten, bleibt der Zustand unbekannt. Ein lückenhafter Scan wird nicht als Entwarnung dargestellt.

Von Zuständen zu verständlichen Fällen

Die Verarbeitung folgt einer festen Kette. Paladin liest Snapshots, bildet daraus Unterschiede und übersetzt relevante Änderungen in semantische Ereignisse. Deterministische Regeln und zeitliche Zusammenhänge verdichten diese Ereignisse anschliessend zu Befunden, Fällen und Vorfällen.

Diese Ebenen erfüllen unterschiedliche Aufgaben:

  • Ein Ereignis beschreibt eine beobachtete Veränderung.
  • Ein Befund hält ein prüfbares Sicherheits- oder Betriebsproblem fest.
  • Ein Fall bündelt zusammengehörende Befunde über Zeit und Quellen hinweg.
  • Ein Vorfall markiert eine Situation, die eine koordinierte Reaktion verlangt.

So wird aus «Paketversion geändert» oder «Backup fehlgeschlagen» kein vorschneller Alarm. Erst Kontext, Regeln und Evidenz bestimmen die Bedeutung.

Prometheus, Alertmanager und Paladin

Prometheus bleibt für Zeitreihen, Messwerte und Schwellwerte zuständig. Alertmanager übernimmt die unmittelbare Weiterleitung kritischer Zustände und ihrer Erholung. Paladin ersetzt diese Werkzeuge nicht.

Paladin liest normalisierte Monitoring-Zustände und verbindet sie mit weiteren Informationen. Ein Temperaturanstieg kann dadurch zusammen mit Hardwareinventar, Wartungsfenster, früheren Befunden und dem späteren Recovery als zusammenhängender Fall erscheinen. Der schnelle Alarm bleibt erhalten; zusätzlich entsteht eine längerfristig verständliche Geschichte.

Diese Aufgabenteilung verhindert, dass ein Sicherheitssystem gleichzeitig Messsystem, Alarmkanal und alleinige Deutungsinstanz sein muss.

CVE ist ein Hinweis, keine fertige Diagnose

Eine CVE bezeichnet eine veröffentlichte Schwachstelle. Aus ihrer Existenz folgt noch nicht, dass jedes System mit ähnlich benannter Software tatsächlich betroffen ist. Paladin gleicht Schwachstelleninformationen deshalb mit beobachteter Software, Version, Build, Quelle und Aktualität ab.

Unvollständige Zuordnungen bleiben sichtbar. Erst wenn Identität und Evidenz tragen, wird aus einem allgemeinen Hinweis ein konkreter Handlungsbedarf. Das reduziert Fehlalarme, ohne ungeklärte Risiken verschwinden zu lassen.

Read-only als Sicherheitsgrenze

Paladin beobachtet Zielsysteme grundsätzlich read-only. Es verändert keine Firewall-Regel, keinen Benutzer, kein NAS und keine Geräteverwaltung. Für technische Änderungen existiert ein eigener kontrollierter Ausführungspfad mit Freigabe, Prestate, Rückweg und Readback.

Diese Trennung schützt vor einer gefährlichen Abkürzung: Ein System, das einen Befund erkennt, sollte nicht ohne weitere Kontrolle selbst weitreichende Änderungen vornehmen. Paladin liefert Evidenz und Priorität. Die Entscheidung und ihre Ausführung bleiben getrennt.

Mobula hält dazu den geschäftlichen Sollzustand und die Freigabe fest. Paladin beobachtet unabhängig, was technisch wirksam ist. Eine erfolgreiche Anforderung in Mobula gilt deshalb erst dann als erfüllt, wenn der Zielzustand auch tatsächlich belegt wurde.

Welche Rolle KI übernimmt

KI kann Befunde zusammenfassen, Zusammenhänge vorschlagen und Rückfragen für die Analyse formulieren. Sie erhält dafür begrenzte, gefilterte Informationen. Severity, Confidence, Eskalation und Benachrichtigung folgen weiterhin überprüfbaren Regeln.

Die KI unterstützt die Einordnung. Sie entscheidet nicht darüber, ob ein Vorfall existiert, und kann deterministische Sicherheitsregeln nicht überstimmen.

Merksatz

Paladin verwandelt technische Signale in nachvollziehbare Sicherheitsfälle. Prometheus misst, Alertmanager alarmiert, Paladin verbindet Kontext und Evidenz – ohne den beobachteten Istzustand selbst zu verändern.