Bestandserfassung. Ein SOC muss über eine umfassende Bestandsaufnahme von allem verfügen, was innerhalb oder außerhalb des Rechenzentrums geschützt werden muss (z. B. Anwendungen, Datenbanken, Server, Cloud Services, Endpunkte etc.), sowie von allen Tools, die zum Schutz verwendet werden (Firewalls, Tools zum Schutz vor Viren/Malware/Ransomware, Überwachungssoftware etc.). Viele SOCs werden für diese Aufgabe eine Lösung für die Asseterkennung einsetzen.

Regelmäßige Wartung und Vorbereitung. Um die Effektivität der bestehenden Sicherheitstools und -maßnahmen zu maximieren, führt das SOC vorbeugende Wartung durch, wie z. B. Einspielen von Software-Patches und -Upgrades und kontinuierliche Aktualisierung von Firewalls, Whitelists und Blacklists sowie Sicherheitsrichtlinien und -verfahren. Das SOC kann auch Systembackups erstellen – oder bei der Erstellung von Sicherungsrichtlinien oder -verfahren unterstützen – um im Falle einer Datenschutzverletzung, eines Ransomware-Angriffs oder eines anderen Cybersicherheitsereignisses unterbrechungsfreie Geschäftsabläufe sicherzustellen.

Planung für die Reaktion auf Vorfälle. Das SOC ist verantwortlich für die Entwicklung des Notfallplans des Unternehmens, in dem Aktivitäten, Rollen und Verantwortlichkeiten im Falle einer Sicherheitsbedrohung oder eines Vorfalls definiert werden – und der Messwerte, an denen der Erfolg der Reaktion auf Vorfälle gemessen wird.

Regelmäßige Tests. Das SOC-Team führt Schwachstellenanalysen durch – umfassende Bewertungen, die die Anfälligkeit der einzelnen Ressourcen für potenzielle Bedrohungen und die zugehörigen Kosten ermitteln. Es führt auch Penetrationstests durch, die spezielle Angriffe auf ein oder mehrere Systeme simulieren. Das Team korrigiert oder optimiert Anwendungen, Sicherheitsrichtlinien, Best Practices und Notfallpläne basierend auf den Ergebnissen dieser Tests.

Auf dem Laufenden bleiben. Das SOC bleibt in Bezug auf die neuesten Sicherheitslösungen und -technologien sowie die neuesten Bedrohungsdaten auf dem Laufenden – Neuigkeiten und Informationen über Cyberangriffe und die Hacker, die sie verüben, erfasst aus Social Media, branchenspezifischen Quellen und dem Dark Web.

Kontinuierliches Sicherheitsmonitoring rund um die Uhr. Das SOC überwacht die gesamte erweiterte IT-Infrastruktur – Anwendungen, Server, Systemsoftware, Datenverarbeitungseinheiten, Cloud-Workloads, Netz – rund um die Uhr, 365 Tage im Jahr auf Anzeichen bekannter Exploits und auf verdächtige Aktivitäten.

Für viele SOCs war die zentrale Technologie für Monitoring, Erkennung und Reaktion  Security Information and Event Management oder SIEM. SIEM überwacht und aggregiert Warnungen und Telemetrie von Software und Hardware in Echtzeit im Netz und analysiert dann die Daten, um potenzielle Bedrohungen zu ermitteln. Seit jüngerer Zeit nutzen einige SOCs auch die XDR-Technologie (Extended Detection and Response), die detailliertere Telemetrie und Überwachung sowie Funktionen zur Automatisierung der Erkennung von Vorfällen und Reaktion darauf bietet.

Protokollmanagement. Protokollmanagement – die Erfassung und Analyse der von jedem Netzereignis generierten Daten – ist eine Untergruppe des Monitoring, die wichtig genug ist, um einen eigenen Absatz zu erhalten. Während die meisten IT-Abteilungen Protokolldaten erfassen, ist es erst die Analyse, die normale oder grundlegende Aktivitäten festlegt und Anomalien aufdeckt, die auf verdächtige Aktivitäten hinweisen. Tatsächlich verlassen sich viele Hacker darauf, dass Unternehmen Protokolldaten nicht immer analysieren, was dazu führen kann, dass ihre Viren und Malware wochen- oder sogar monatelang unentdeckt auf den Systemen der Opfer ausgeführt werden. Die meisten SIEM-Lösungen umfassen Protokollmanagementfunktionen.

Bedrohungserkennung. Das SOC-Team trennt die Signale vom Rauschen – die Hinweise auf tatsächliche Cyberbedrohungen und Hackerangriffe von den Fehlalarmen – und ordnet dann die Bedrohungen nach Schweregrad ein. Moderne SIEM-Lösungen beinhalten künstliche Intelligenz (KI), die diese Prozesse automatisiert und aus den Daten „lernt“, um verdächtige Aktivitäten im Laufe der Zeit besser zu erkennen.

Incident Response. Als Reaktion auf eine Bedrohung oder einen tatsächlichen Vorfall ergreift das SOC Maßnahmen, um den Schaden zu beschränken. Aktionen können Folgendes umfassen:

• Untersuchung der Grundursache, um die technischen Schwachstellen zu ermitteln, die Hackern Zugriff auf das System verschafften, sowie andere Faktoren (z. B. schlechte Kennworthygiene oder unzureichende Durchsetzung von Richtlinien), die zu dem Vorfall beigetragen haben

• Herunterfahren manipulierter Endpunkte oder Trennen vom Netzwerk

• Isolieren manipulierter Bereiche des Netzwerks oder Umleiten des Netzwerkverkehrs

• Pausieren oder Stoppen von manipulierten Anwendungen oder Prozessen

• Löschen beschädigter oder infizierter Dateien

• Ausführen von Virenschutz- oder Malwareschutz-Software

• Außerbetriebnahme von Kennwörtern für interne und externe Benutzer

Viele XDR-Lösungen ermöglichen es SOCs, diese und andere Reaktionen auf Vorfälle zu automatisieren und zu beschleunigen.

Wiederherstellung und Korrektur. Sobald ein Vorfall eingedämmt ist, beseitigt das SOC die Bedrohung und bringt die betroffenen Assets wieder in ihren Zustand vor dem Vorfall (z. B. Löschen, Wiederherstellen und erneutes Verbinden von Festplatten, Endbenutzergeräten und anderen Endpunkten; Wiederherstellen des Netzwerkverkehrs; Neustarten von Anwendungen und Prozessen). Im Falle einer Datenschutzverletzung oder eines Ransomware-Angriffs kann Wiederherstellung auch das Umschalten auf Backup-Systeme und das Zurücksetzen von Kennwörtern und Authentifizierungsdaten beinhalten.

Nachträgliche Untersuchung und Optimierung. Um eine Wiederholung zu verhindern, nutzt das SOC alle neuen Informationen, die aus dem Vorfall gewonnen werden, um Schwachstellen besser zu beheben, Prozesse und Richtlinien zu aktualisieren, neue Cybersicherheitstools auszuwählen oder den Notfallplan zu überarbeiten. Auf einer höheren Ebene kann das SOC-Team auch versuchen festzustellen, ob der Vorfall einen neuen oder sich ändernden Cybersicherheitstrend offenbart, auf den sich das Team vorbereiten muss.

Compliance-Management. Es ist die Aufgabe des SOC sicherzustellen, dass alle Anwendungen, Systeme sowie Sicherheitstools und -prozesse Datenschutzbestimmungen wie DSGVO (Datenschutz-Grundverordnung), CCPA (California Consumer Privacy Act), PCI DSS (Payment Card Industry Data Security Standard) und HIPAA (Health Insurance Portability and Accountability Act) entsprechen. Nach einem Vorfall stellt das SOC sicher, dass Benutzer, Aufsichtsbehörden, Strafverfolgungsbehörden und andere Parteien gemäß den Vorschriften benachrichtigt werden und dass die erforderlichen Vorfalldaten zu Beweis- und Prüfungszwecken aufbewahrt werden.