SOC-Analysten – die Lotsen im Cyber-Verkehr Einsichten in ein Security Operations Center (SOC)

Anbieter zum Thema

Materna Information & Communications SE

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Ein Raum mit einer Vielzahl an Bildschirmen. Davor Menschen, die konzentriert – fast unbeweglich – darauf starren. Was anmutet wie der Blick in eine Einsatzleitstelle oder ein Luftfahrtkontrollzentrum, beschreibt ein hochaktuelles Szenario zur Abwehr cyber-krimineller Angriffe auf IT-Infrastrukturen – immer häufiger handelt es sich um Unternehmen der kritischen Infrastruktur (KRITIS).

Die Szenerie spielt in einer Zentrale der Cyber-Verteidigung, einem Security Operations Center (SOC) im Zentrum Wiens. Wie ist ein solches SOC strukturiert? Was passiert dort, wenn die Analysten Anzeichen von Angriffsversuchen bemerken? Und wie werden die IT-Netzwerke vor Cyber-Kriminellen geschützt? Dieser Artikel beleuchtet das Innere eines SOC und zeigt auf, warum der Betrieb solch eines Verteidigungszentrums gerade in Zeiten wie diesen so immens wichtig ist.

Die Menschen vor den Monitoren sind IT-Security-Analysten. Deren typischer Arbeitsalltag besteht darin, die Geschehnisse auf mehreren Bildschirmen vor sich ganz genau zu beobachten. Was wie eine entspannte Tätigkeit anmutet, ist das exakte Gegenteil. Ein Unternehmen wird zwar nicht alle Tage erfolgreich angegriffen, aber täglich bedroht. Bei den sogenannten „Events" handelt es sich um Millionen beziehungsweise manchmal Milliarden Sicherheitsdatensätze, die es automatisiert und manuell zu analysieren gilt, um ernstzunehmende Bedrohungen zu entdecken.

Die Tätigkeit eines Analysten in einem SOC – welches auch Cyber Defense Center (CDC) genannt wird – zählt mittlerweile zu den wichtigsten im IT-Umfeld der Firmen und Behörden. Egal, ob sie ihr eigenes SOC betreiben oder hierfür die Dienste eines Managed-Security-Service-Providers (MSSP) in Anspruch nehmen. In beiden Fällen gilt es jedoch, eine Flut von Informationen Sekunde um Sekunde, Minute um Minute, tagtäglich zu analysieren und hinsichtlich ihrer Sicherheitsrelevanz ständig im Auge zu haben und einschätzen zu können, was sich daraus entwickeln könnte: Handelt es sich um normale Log-Events oder bereits um Alarmmeldungen aus unterschiedlichen IT-Systemen? Ergebnisse aus Schwachstellen-Scans müssen bewertet und Statistiken gelesen werden.

Rotieren gegen die Routine

Wie viele Analysten in einem SOC/CDC sind, hängt von der Größe und der wirtschaftlichen Ausrichtung eines Unternehmens ab. Der Analyst gehört einem Team an, das wiederum einer Kundengruppe zugeordnet ist. Welche Daten wessen Kunden er speziell analysiert, ändert sich turnusmäßig. Dies ist wichtig, um nicht Gefahr zu laufen, eine gewisse „Betriebsblindheit“ entstehen zu lassen, sondern buchstäblich mit einem frischen Blick auf die Monitore schauen zu können.

Während sich der Security-Analyst um die Ergebnisse seiner Beobachtungen kümmert – das heißt, etwaige Schwachstellen und daraus mögliche Gefahren analysiert und an den Kunden meldet –, bringt der Chief Security Analyst seine Expertise ein, beispielsweise bei der Eskalation schwieriger sicherheitsrelevanter Fälle mit hohem Bedrohungsgrad. Bei diesen „Incidents“ ist wiederum die Teamarbeit mit den Security-Analysten wichtig. In regelmäßigen Besprechungen treffen sich die Service Delivery Manager mit Kundenvertretern, in der Regel CIO, CISO oder IT-Security-Verantwortlicher. Die Runde bespricht ganz allgemein organisatorische Themen, z.B. das On-Boarding neuer Logs, das heißt ein neues Produkt, wie ein neuer Proxy oder der Einsatz einer neuen Firewall beim Kunden erfordert die Weitergabe der entsprechenden Log-Daten ans CDC. Im Besonderen informieren die Analysten über die aktuellsten und kritischsten Bedrohungen und gehen dabei spezifisch auf die für den Kunden besonders relevanten ein.

Service-Spagat zwischen Sicherheit und Budget

Die Security-Analysten im CDC sind grundsätzlich für das Monitoring und die Schwachstellenerkennung zuständig. Darüber hinaus informieren sie über etwaige Fehlkonfigurationen und helfen dabei festzulegen, was von der Unternehmens-IT unternommen werden muss, um die Infrastruktur abzusichern.

Nicht selten diktiert der viel zitierte Fachkräftemangel kundenseitig die Entscheidung, wie viel Sicherheit möglich und wie viel Operabilität nötig ist. Oder die ohnehin schon schmalen IT-Budgets sind aufgrund anderer Projekte strapaziert.

Eigenes SOC oder doch besser ‘as a Service’?

Kontinuierliche Überwachung der IT (Information Technology) mit Risikoerkennung verlangt von Organisationen neben Anfangsinvestitionen, etwa in die Hard- und Software, auch laufende Ausgaben für die notwendigen hochspezialisierten Cybersecurity-Experten. Die Spezialisten müssen kontinierlich traininert und in Weiterbildungen geschickt werden. Außerdem werden Notfälle geübt und Prozesse mit Reporting-Pflichten einstudiert.

Ein wesentlich ressourcenschonenderer Ansatz für Unternehmen ist der Einsatz von SOC-as-a-Service, kurz SOCaaS. Hier wird die automatisierte Erkennung von Sicherheitsproblemen und -risiken mit der Analyse durch Experten im Verteidigungszentrum eines Managed-Security-Service(MSSP)-Anbieters kombiniert. Die Sicherheitsverantwortlichen in den betreuten Unternehmen und Behörden erhalten vom MSSP-Fachpersonal per Knopfdruck die Informationen, die sie für den Schutz vor tatsächlichen Risiken benötigen.

Welches Konzept man auch wählt, hängt von den internen Ressourcen ab, die ein Unternehmen bereitstellen kann oder auch will. Eine wichtige Überlegung bei der Entscheidung für die Einrichtung/Etablierung eines eigenen CDC/SOC oder einer SOC-as-a-Service-Dienstleistung ist die Unternehmensgröße. Kleinunternehmen können die laufenden personellen und finanziellen Ressourcen kaum aufbringen. IT-Security-Fachkräfte sind schwer am Arbeitsmarkt zu finden, ein Umstand, der eine SOC-as-a-Service Dienstleistung in vielen Fällen sehr attraktiv macht.

IT-Sicherheit ist mehr als SIEM

Für die Analyse ist vor allem eines relevant: Kontext. Dieser lässt sich über die Analysten-Benutzeroberfläche und die Überleitung ins Cockpit herstellen. Mit einem Klick auf ein Asset erhält der SOC-Analyst Informationen über weitere Ereignisse aus den verschiedenen Log-Quellen wie etwa Netzwerkverkehr, Windows-Event-Logs oder Firewall-Logs. Über zusätzliche Tags auf dem Asset weiß der Analyst, ob es sich beispielsweise um einen Datenbankserver, einen Domain-Controller, einen Proxy-Server oder einem Office-IT-Client handelt. Zusätzliche Daten liest der Analyst aus den Scans: Etwa um welches Betriebssystem es sich handelt und, ob das System eventuell Schwachstellen aufweist.

Mithilfe von Log Data Analytics (LDA), auch unter Security Information and Event Management (SIEM) bekannt, versteht man das Sammeln, Analysieren und Korrelieren von Logs aus verschiedensten Quellen. Daraus resultieren Alarmierungen bei Sicherheitsproblemen oder potentiellen Risiken. Die SOC-Analysten erhalten Informationen in Echtzeit über ungewöhnliches Verhalten, Systemanomalien und andere Anzeichen für einen Cyberangriff. Die Logdatenanalyse ist aber nur eines von insgesamt fünf möglichen Tools, auf die die SOC-Experten zurückgreifen können. Die weiteren vier Module sind

• Network Behavior Analytics (NBA): Damit ist die Erkennung von Malware, Anomalien und anderen Risiken im Netzwerkverkehr auf Basis signatur- und verhaltensbasierter Erkennungsmechanismen (Detection Engines) möglich.

• Vulnerability Management and Compliance (VMC): Dieses Module ermöglicht kontinuierliche interne und externe Schwachstellen-Scans mit umfassenden Überprüfungen, Compliance Checks und Tests für eine komplette Abdeckung.

• Endpoint Detection and Response (EDR): Das steht für die Analyse, Überwachung und Erkennung von Anomalien auf Hosts. Es ermöglicht aktive Schutzmaßnahmen und sofortige Alarmierung.

• Advanced Threat Detection (ATD): Hier kommt es zum Einsatz von neuester Sandbox-Technologie zur Erkennung von hochentwickelter Malware in E-Mails und Dateien.

Da Cyberkriminelle immer komplexere Angriffsmethoden einsetzen, benötigen Unternehmen eine entsprechende Verteidigung. Um die wachsende Zahl bedrohter digitaler Assets innerhalb und außerhalb des Netzwerks zu schützen, braucht es proaktive und einheitliche Sicherheitsmaßnahmen – das heißt, eine Plattform, die alle relevanten Security-Daten intelligent zusammenführt. Hier greifen SOC-Analysten auf Extended Detection and Response (XDR) zurück. XDR unterstützt die Experten, indem das System Daten aus verschiedenen Quellen (wie E-Mails, Endpunkten, Server, Netzwerken oder Cloud-Workloads) analysiert und deutlich mehr Erkennungsmöglichkeiten zulässt. Etwa, indem es auch Netzwerkdaten zur Überwachung anfälliger (nicht verwalteter) Endpunkte nutzt, die gängige EDR-Tools nicht abdecken. Durch die Korrelation dieser Daten ist es möglich, deutlich mehr Bedrohungen zu aufzugreifen als bei der ausschließlichen Konzentration auf einzelne Daten. Die Korrelations­analyse ist daher ein zentraler Aufgabenbereich eines SOC-Betriebs, bei dem die verschiedenen IT-Sicherheitsereignisse der verschiedenen Geräte in Zusammenhang gebracht werden.

Fazit

Ein CDC oder SOC stellt für die organisierte Cyberkriminalität einen mindestens ebenbürtigen Gegner dar. Durch konsequente Bündelung des Know-hows und der Automatisierung können es Unternehmen und öffentliche Stellen den Angreifern äußerst schwierig machen und sie können dafür sorgen, dass selbst ausgefeilte Attacken annähernd folgenlos bleiben.

Über den Autor: Dr. Christian Polster ist Gründer und Geschäftsführer von Materna Radar Cyber Security. Er gilt als erfahrener Stratege und bringt mit seiner langjährigen Tätigkeit im IT-Security Bereich eine starke Kundenperspektive für das Produktportfolio und alle Compliance-Themen ein.

(ID:49888509)