Was ist ein Security Operations Center (SOC)?

Asset-Bestand: Ein SOC muss einen umfassenden Bestand an allem, was geschützt werden muss, innerhalb oder außerhalb des Rechenzentrums (z. B. Anwendungen, Datenbanken, Server, Cloud-Services, Endgeräte usw.) und alle Tools, die zum Schutz der Geräte (Firewalls, Antivirus-/Anti-Malware-/Anti-Ransomware-Tools, Überwachungssoftware usw.) verwendet werden. Viele SOCs verwenden für diese Aufgabe eine Asset-Discovery-Lösung.

Routinemäßige Wartung und Vorbereitung: Um die Wirksamkeit der vorhandenen Sicherheitstools und -maßnahmen zu maximieren, führt das SOC vorbeugende Wartungsarbeiten durch, z. B. das Anwenden von Software-Patches und -Upgrades sowie die kontinuierliche Aktualisierung von Firewalls, Whitelists und Blocklists sowie Sicherheitsrichtlinien und -verfahren. Das SOC kann außerdem System-Backups erstellen oder bei der Erstellung von Backup-Richtlinien oder -Verfahren behilflich sein, um die Geschäftskontinuität im Falle einer Datenpanne, eines Ransomware-Angriffs oder eines anderen Cybersicherheitsvorfalls sicherzustellen.

Vorfallreaktionsplanung: Das SOC ist verantwortlich für die Entwicklung des Notfallplans des Unternehmens, der Aktivitäten, Rollen und Verantwortlichkeiten im Falle einer Bedrohung oder eines Vorfalls sowie die Metriken definiert, anhand derer der Erfolg einer Reaktion auf Vorfälle gemessen wird.

Regelmäßige Tests: Das SOC-Team führt Schwachstellenanalysen durch – umfassende Bewertungen, die die Schwachstellen der einzelnen Ressourcen für potenzielle oder aufkommende Bedrohungen und die Kosten für die Verbindung identifizieren. Es führt auch Penetrationstests durch, die spezifische Angriffe auf ein oder mehrere Systeme simulieren. Basierend auf den Ergebnissen dieser Tests nimmt das Team Korrekturen oder Feinabstimmungen an Anwendungen, Sicherheitsrichtlinien, Best Practices und Notfallplänen vor.

Auf dem Laufenden bleiben: Das SOC hält sich über die neuesten Sicherheitslösungen und -technologien sowie über die neuesten Bedrohungsdaten auf dem Laufenden – Nachrichten und Informationen über Cyberangriffe und die Hacker, die sie verüben, die aus sozialen Medien, Branchenquellen und dem Dark Web stammen.

Kontinuierliche Sicherheitsüberwachung rund um die Uhr: Das SOC überwacht die gesamte erweiterte IT-Infrastruktur – Anwendungen, Server, Systemsoftware, Computergeräte, Cloud-Workloads, das Netzwerk – rund um die Uhr auf Anzeichen bekannter Exploits und für verdächtige Aktivitäten.

Für viele SOCs war Security Information and Event Management (SIEM) die zentrale Überwachungs-, Erkennungs- und Reaktionstechnologie. SIEM überwacht und aggregiert Warnungen und Telemetrie von Software und Hardware im Netzwerk in Echtzeit und analysiert dann die Daten, um potenzielle Bedrohungen zu identifizieren. In jüngerer Zeit haben einige SOCs auch die Extended Detection and Response (XDR)-Technologie eingeführt, die detailliertere Telemetrie und Überwachung ermöglicht und die Automatisierung der Erkennung und Reaktion auf Vorfälle ermöglicht.

Log-Management: Das Log-Management – die Erfassung und Analyse von Protokolldaten, die bei jedem Netzwerkereignis generiert werden – ist ein wichtiger Teil der Überwachung. Während die meisten IT-Abteilungen Protokolldaten sammeln, ist es die Analyse, die normale oder grundlegende Aktivität feststellt und Anomalien aufdeckt, die auf verdächtige Aktivitäten hinweisen. Tatsächlich verlassen sich viele Hacker darauf, dass Unternehmen nicht immer Protokolldaten analysieren, was dazu führen kann, dass ihre Viren und Malware wochen- oder sogar monatelang unentdeckt auf den Systemen des Opfers laufen. Die meisten SIEM-Lösungen beinhalten Protokollverwaltungsfunktionen.

Erkennung von Bedrohungen: Das SOC-Team trennt die Signale vom Rauschen – die Hinweise auf tatsächliche Cyberbedrohungen und Hackerangriffe von den Fehlalarmen – und ordnet die Bedrohungen dann nach Schweregrad ein. Moderne SIEM-Lösungen enthalten künstliche Intelligenz (KI), die diese Prozesse automatisiert und aus den Daten „lernt“, um verdächtige Aktivitäten im Laufe der Zeit immer besser zu erkennen.

Reaktion auf Vorfälle: Als Reaktion auf eine Bedrohung oder einen tatsächlichen Vorfall versucht das SOC, den Schaden zu begrenzen. Zu den Maßnahmen können gehören:

• Ursachenforschung, um die technischen Schwachstellen zu ermitteln, die den Hackern Zugang zum System verschafften, sowie andere Faktoren (wie schlechte Passworthygiene oder mangelhafte Durchsetzung von Richtlinien), die zu dem Vorfall beigetragen haben.
• Abschalten von kompromittierten Endgeräten oder Trennen vom Netzwerk.
• Isolieren gefährdeter Bereiche des Netzwerks oder Umleiten des Netzwerkverkehrs.
• Pausieren oder Stoppen kompromittierter Anwendungen oder Prozesse.
• Löschen beschädigter oder infizierter Dateien.
• Ausführen von Antiviren- oder Anti-Malware-Software.
• Außerbetriebnahme von Passwörtern für interne und externe Benutzer.

Viele XDR-Lösungen ermöglichen SOCs die Automatisierung und Beschleunigung dieser und anderer Reaktionen auf Vorfälle.

Wiederherstellung und Behebung: Sobald ein Vorfall eingedämmt ist, beseitigt das SOC die Bedrohung und arbeitet dann daran, die betroffenen Ressourcen in den Zustand vor dem Vorfall zurückzuversetzen (z. B. Löschen, Wiederherstellen und erneutes Verbinden von Festplatten, Benutzergeräten und anderen Endpunkten, Wiederherstellung des Netzwerkverkehrs, Neustart von Anwendungen und Prozessen). Im Falle eines Data Breach oder eines Ransomware-Angriffs kann die Wiederherstellung auch bedeuten, dass Sie auf Backup-Systeme umschalten und Passwörter und Authentifizierungsdaten zurücksetzen müssen.

Post-Mortem und Verfeinerung: Um einen erneuten Vorfall zu verhindern, nutzt das SOC alle neuen Erkenntnisse aus dem Vorfall, um Schwachstellen besser zu beheben, Prozesse und Richtlinien zu aktualisieren, neue Cybersicherheitstools auszuwählen oder den Notfallplan zu überarbeiten. Auf einer höheren Ebene könnte das SOC-Team auch versuchen festzustellen, ob der Vorfall einen neuen oder sich ändernden Cybersicherheitstrend aufdeckt, auf den sich das Team vorbereiten muss.

Compliance-Management: Es ist die Aufgabe des SOC, sicherzustellen, dass alle Anwendungen, Systeme und Sicherheitstools und -prozesse den Datenschutzbestimmungen wie der DSGVO (Datenschutz-Grundverordnung), dem CCPA (California Consumer Privacy Act), dem PCI DSS (Payment Card Industry Data Security Standard) und dem HIPAA (Health Insurance Portability and Accountability Act) entsprechen. Nach einem Vorfall stellt das SOC sicher, dass Benutzer, Aufsichtsbehörden, Strafverfolgungsbehörden und andere Parteien gemäß den Vorschriften benachrichtigt werden und dass die erforderlichen Vorfalldaten zu Beweis- und Prüfzwecken aufbewahrt werden.