Security Operations Center: Cyberschutz für Ihr Unternehmen

• Eine oder mehrere IT-Abteilung(en), die innerhalb der Firma alle IT-Netze, Server, Arbeitsplatzcomputer und Cloudspeicher planen, einrichten und managen
• Ein Netzmanagement (auch Network Operations Center, kurz: NOC), das das Firmennetz im Regelbetrieb überwacht, managt und bei Bedarf skaliert
• Ein SOC, das außerhalb des operativen Tagesgeschäftes arbeitet und speziell für die Cybersicherheit verantwortlich ist

• das dauerhafte Monitoring der gesamten IT-Infrastruktur einer Organisation im Hinblick auf mögliche Gefahren von innen und außen
• die regelmäßige Information der betreffenden Abteilungen über aktuelle Gefahren und neue Angriffstypen („Cybersecurity Forecast“, auf Deutsch etwa: Gefahrenvorhersage)
• die Beratung der Unternehmens-IT unter Sicherheitsgesichtspunkten, insbesondere bei Neuanschaffungen von Hardware und Software oder bei der Auslagerung von IT-Funktionen an externe Dienstleister
• die vollständige Dokumentation von Cybervorfällen und Cybergefahren sowie die Berichterstattung hierzu an den Chief Information Officer (auf Deutsch: IT-Vorstand) des Unternehmens

SOC auslagern und so Synergien nutzen

Mehrstufige Gefahrenanalyse im SOC

• Sogenannte Triage-Spezialist:innen bilden die erste Analysestufe im SOC. Sie überprüfen eingehende Alarmmeldungen auf mögliche Fehlalarme oder Benutzungsfehler. Bestimmte Hackingattacken und andere Vorfälle können auf dieser Stufe auch direkt bekämpft werden. Wird hingegen weitergehendes Wissen benötigt oder ist ein Schadensereignis von größerer Relevanz, erfolgt die Eskalation zur Stufe 2.
• Als Stufe 2 werden sogenannte Incident-Responder:innen bezeichnet, die höher priorisierte Sicherheitsvorfälle behandeln und hierbei auch tiefer in die Analyse einsteigen. Sie verarbeiten die Rohdaten, die sie von Stufe 1 erhalten und verfeinern diese mithilfe eigener Analysewerkzeuge. Können sie einen Vorfall auf dieser Stufe nicht erfolgreich eingrenzen und beheben, ziehen sie entweder weitere Responder:innen derselben Stufe hinzu; oder sie eskalieren den Fall direkt zur Stufe 3.
• Die Stufe 3 bilden hochspezialisierte Threat Hunter (auf Deutsch etwa: „Bedrohungsjäger“). Jede:r verfügt über tiefergehende Kenntnisse zu bestimmten Angriffsvektoren und übernimmt die Bearbeitung solcher Sicherheitsvorfälle, die aus der Stufe 2 hocheskaliert werden und in dieses Spezialgebiet fallen. Auch hier werden bei Bedarf Analyseteams aus Expert:innen mit unterschiedlichen Fachgebieten gebildet.

• Internes SOC: Sie lassen sich beim Aufbau Ihres SOC von externen Spezialist:innen beraten, betreiben das eigentliche SOC aber vollständig innerhalb Ihres Unternehmens. Alle Mitarbeiter:innen des SOC sind bei Ihnen beschäftigt und berichten direkt an Sie.
• Managed oder Virtual SOC (vSOC): Sie beauftragen einen externen Dienstleister, der ein eigenes SOC in Ihrem Auftrag betreibt – üblicherweise als Teil eines größeren SOC, mit dem er auch für andere Kunden tätig ist. Vertraglich vereinbaren Sie Leistungsumfang, Reaktionszeiten und weitere Parameter.
• Mehrstufiges oder hybrides SOC: Einen Teil der Aufgaben eines SOC setzen Sie im eigenen Unternehmen um, andere Aufgaben vergeben Sie an einen oder mehrere externe Dienstleister.

• Planung und Prävention
• Überwachung, Erkennung und Behebung
• Wiederherstellung und Optimierung

• Erstellen eines Bestandsinventars: Welche Strukturen müssen im Unternehmen („On-Premises“) geschützt werden? Gibt es außerhalb des Unternehmens weitere Systeme, die überwacht werden müssen, beispielsweise selbst gemanagte Clouds und dedizierte Server? Wie sind die einzelnen Teilnetze untereinander abgesichert, etwa durch Session Border Controller?
• Absicherung („Prävention“) der vorhandenen Systeme: Sogenannte Security Architects erarbeiten möglichst sichere Netzwerkstrukturen und Prozesse für das Unternehmen auf dem aktuellen Forschungsstand. Sie geben außerdem Empfehlungen und Handlungsanweisungen heraus, zum Beispiel für die Systemwiederherstellung nach Verlust und das Neuaufsetzen einzelner Computer oder ganzer (Teil-)Netze.
• Aufsetzen von Notfallplänen und Alarmierungsketten: Wie ist im Schadensfall genau vorzugehen? Welche Abteilungen müssen hinzugezogen werden? Wie können vitale Systeme gegebenenfalls ersetzt werden? Gibt es eine vorbereitete, sogenannte Darksite, die bei Krisenfälle anstelle der regulären Firmenwebseite im Internet angezeigt wird und Kund:innen und Geschäftspartnern Handlungsempfehlungen gibt?
• Wartung der Systeme: Die Expert:innen des SOC planen Routine-Wartungsaufgaben und –Updates und begleiten diese, soweit solche Aufgaben nicht bei den IT-Abteilungen des Unternehmens liegen.

• Fortlaufende Überwachung alle Systeme („Monitoring“): Diese Aufgabe gliedert sich in vier Verfahren auf, die unterschiedliche Systeme prüfen: Dies sind Managed Detection and Response (MDR), Network Detection and Response (NDR), Endpoint Detection and Response (EDR) sowie Extended Detection and Response (XDR). Werkzeuge der Überwachung sind außerdem das aktive Log-Management, also das fortlaufende Mitlesen aller wichtigen Ereignislogbücher und das Intrusion Detection System (kurz: IDS, auf Deutsch: Eindringerkennungssystem), das unautorisierte Zugriffe auf das Firmennetz erkennen soll.
• Erkennung und Behebung: Erkennt es einen erfolgreichen Hackingangriff, arbeitet das SOC seine im Vorfeld erstellten Notfallpläne und Alarmierungsketten ab. Dazu kann beispielsweise etwa gehören, Passwörter oder Passwortblöcke generell zu deaktivieren; und Firmenwebseiten, Mailserver und andere Ressourcen abzuschalten, wenn sie von Malware befallen sind. Der genaue Ablauf hängt naturgemäß immer von der Art der Attacke ab und davon, welche Systeme betroffen sind oder betroffen sein könnten. Ein SOC geht hierbei immer von einem Maximalereignis aus: Ist ein bestimmtes Teilnetz durch eine Schadsoftware befallen, so muss angenommen werden, dass auch alle damit verbundenen anderen Teilnetze gleicher Hierarchie befallen sind.

• Wiederherstellung: Nach einem Schadensereignis, beispielsweise einem Datenverlust infolge einer Ransomware-Attacke, stellt das SOC in Abstimmung mit der IT-Abteilung und dem Netzmanagement die einzelnen Systeme und Teilnetzwerke, Websites, Cloudspeicher und sonstigen Ressourcen wieder hier.
• Optimierung: Auf Basis der Erkenntnisse, die es bei der Schadensbehebung gewonnen hat, optimiert das SOC Systeme und Prozesse. Beispielsweise ordnet es das interne Rechtemanagement neu; oder es lagert potenziell gefährliche Software aus – auf virtualisierte Systeme ohne Zugriff auf systemkritische Ressourcen.
• Reporting: Das SOC dokumentiert jeden aufgetretenen Schadensfall, ergänzt Handlungsempfehlungen und verteilt dies an die IT-Verantwortlichen im Unternehmen.