Managed Security Operations Center Lösen Managed SOCs den Fachkräftemangel?

Anbieter zum Thema

Vogel IT-Medien GmbH

Arctic Wolf Networks Germany GmbH

RAPID7

Viele traditionelle Konzepte der IT-Security greifen in der Cloud und in hybriden Architekturen nicht mehr, und Cloud-native Sicherheitslösungen sind das Gebot der Stunde. Doch auch solche Lösungen benötigen Expertise und vor allem Ressourcen - Ressourcen, die angesichts der schon sprichwörtlichen Knappheit von Spezialisten oft nicht verfügbar sind.

Angesichts zunehmender Automatisierung und von KI und Machine Learning geprägter Angriffs-Szenarien lassen sich die Anforderungen an Security und Compliance heute nicht mehr manuell erfüllen. Auch Maßnahmen für die Prävention von Angriffen, ihre Erkennung und die Reaktion darauf müssen daher möglichst weitgehend automatisiert werden. Zudem gewinnt die Orchestrierung von verschiedenen Sicherheitslösungen an Bedeutung, da eine Security-Architektur auf Basis voneinander unabhängiger Best-of-Breed-Lösungen keine vollständige Transparenz schaffen kann und tote Winkel generiert, in denen Angriffe nicht rechtzeitig oder möglicherweise gar nicht erkannt werden können. Ein wesentlicher Grund dafür ist die fehlende Korrelation von Ereignissen, die in den einzelnen Tools detektiert werden. So generieren moderne Angriffe eine Vielzahl von Events in Intrusion-Detection-Systemen, in Web Application Firewalls, im Active Directory, in Endpoint-Detection-Lösungen und weiteren, aber jedes einzelne dieser Events ist ohne Korrelation bedeutungslos und geht im Rauschen unter.

Expertise lässt sich nicht ersetzen, aber teilen

Doch wenngleich Automatisierung und Orchestrierung die Sicherheitsteams bis zu einem gewissen Grad von zeitraubenden und ermüdenden Routinetätigkeiten entlasten und die notwendigen Korrelationen herstellen können, ersetzen sie doch nicht die erforderliche Expertise. Zwar müssen sich die Sicherheitsanalysten mit einer deutlich geringeren Anzahl von False Positives oder unkritischen Alerts beschäftigen, doch die detaillierte Analyse der kritischen Warnungen und die Maßnahmen zur Behebung von Sicherheitsproblemen bleiben ihr Metier. Doch menschliche Expertise ist und bleibt ein rares Gut - und damit teuer und vor allem schwer zu beschaffen und noch schwerer zu halten.

Der klassische Weg, Knappheit an Ressourcen und Expertise zu beheben, ist deren gemeinsame Nutzung. So teilen sich viele Unternehmen die Steuerkanzlei, den Rechtsberater oder den Distributionskanal, und nur wenige betreiben eigene Reparaturbetriebe für ihre Flotte an Firmenfahrzeugen. Zwar sind im Bereich der IT etliche Unternehmen noch skeptisch, sicherheitskritische Dienste außer Haus zu geben. Aber wenn man sich - sofern vorhanden - einmal auf ihrem physischen Firmengelände umsieht, merkt man schnell, dass die augenscheinlich kräftigen Herrschaften in dunklen Jacken mit "Security"-Aufdruck auch nicht beim Unternehmen selbst angestellt sind. Das Outsourcen von Sicherheitsdiensten ist also längst gang und gäbe, und es gibt wenige Gründe, die IT davon auszunehmen.

MSSP ist nicht MSSP

Folgerichtig hat sich in den vergangenen Jahren eine Vielzahl von Managed Security Service Providern (MSSP) etabliert, die unterschiedliche Dienstleistungen im Bereich der Cybersecurity anbieten. Allerdings handelt es sich dabei oft mehr um ein Outtasking als ein Outsourcing, denn die meisten übernehmen nur den Betrieb einzelner, fest umrissener Lösungen wie Spamschutz, Antivirus, Firewall Management etc. Ziel solcher Services ist es, das eigene Security Operations Center (SOC) zu entlasten. Aber auch bei diesem Ansatz bleibt das Problem der knappen Expertise - es werden vor allem Routinetätigkeiten ausgelagert, die wenig Know-how und Erfahrung erfordern.

Einen deutlichen Schritt weiter gehen moderne und Cloud-basierte Managed Security Services, die letztlich auf ein Managed SOC hinauslaufen und den Sicherheitsanalysten im Unternehmen nur noch die Behebung identifizierter Sicherheitsprobleme überlassen - sei es die Abwehr eines laufenden Angriffs oder das präventive Patchen gefährdeter Systeme. Ein solches Managed SOC kann eine Vielzahl von Managed Services und vor allem die Expertise dafür anbieten, darunter: Schwachstellen-Management, Managed Detection and Response und Anwendungssicherheit.

Schwachstellen-Management

Die Entwicklung eines echten Schwachstellen-Managementprogramms erfordert Zeit und Ressourcen, um Schwachstellen zu priorisieren und zu beheben sowie nachhaltige Prozesse für die Arbeit innerhalb und zwischen den Teams zu etablieren. Ein Managed SOC wird hierfür technische Lösungen einsetzen, die eine umfassende Asset-Erkennung, die Überwachung der Cloud-Konfiguration, eine detaillierte Container-Bewertung, die Integration von Feeds zu aktuellen Schwachstellen, Auditing und Reporting und mehr umfassen – ergänzt durch das Fachwissen des Anbieters. Daraus basieren dann Empfehlungen, die bei der Verwaltung, Durchführung und Optimierung des Schwachstellen-Managementprogramms unterstützen. Dadurch können Sicherheitsverantwortliche nicht nur ihre Teams entlasten, sondern auch Zeit und Ressourcen dafür verwenden, auf höherer Ebene Risiken zu minimieren und die Sicherheit des Unternehmens zu stärken.

Bei einem solchen Service übernimmt das Team des SOC-Anbieters in der Regel die Konfiguration, das Scannen und das Reporting und fungiert als eine Erweiterung des Kunden-Teams, das nur noch für die eigentliche Behebung der Schwachstellen verantwortlich ist.

Managed Detection and Response (MDR)

Der Aufbau eines effektiven Detection-and-Response-Programms ist nicht so einfach wie der Kauf und die Implementierung neuester Sicherheitsprodukte. Es erfordert ein dediziertes SOC, das mit hochqualifizierten und spezialisierten Sicherheitsexperten besetzt ist. Dieses SOC muss eine Rund-um-die-Uhr-Überwachung mit aktuellster Technologie gewährleisten, um sicherzustellen, dass sich Angreifer nirgendwo verstecken können. Die Erstellung eines solchen Programms im eigenen Haus kann teuer und schwierig zu warten sein und bietet nur eine begrenzte Gewähr dafür, dass die allgemeine Sicherheit tatsächlich verbessert wurde.

Die Lösung kann ein MDR-Service sein, der eine Kombination aus Sicherheitsexpertise und Technologie nutzt, um dynamische Bedrohungen im gesamten Ökosystem schnell zu erkennen. Er sollte maßgeschneiderte Sicherheitsrichtlinien, eine lückenlose 24/7/365-Überwachung sowie proaktives Threat Hunting beinhalten und ein Team von Experten zur Verfügung stellen, um bösartige Aktivitäten zu stoppen und die Sicherheitsreife zu verbessern. Auch die Validierung von Vorfällen in Echtzeit ist ein wesentliches Element von MDR, um False Positives bestmöglich zu vermeiden und die Ressourcen des Security-Teams zu schonen. Typische Komponenten bzw. Erkennungsmethoden eines fortschrittlichen MDR Services sind:

• Threat Intelligence

• Proaktives Threat Hunting

• Netzwerkverkehrsanalyse

• Überwachung von Netzwerkflussdaten

• Täuschungstechnologien

• KI-gestützte Analyse des Benutzer- und des Angreiferverhaltens, die aus der Überwachung von Endpunkten abgeleitet wird.

• Maschinelles Lernen für die-Ereigniskorrelation in Echtzeit

• Gewährleistung der Visibility on-premise und in der Cloud

Anwendungssicherheit

Technologische Fortschritte sind normalerweise dazu da, das Leben der Menschen zu erleichtern. Doch bei Webanwendungen gilt dies in der Regel nur für den Kunden, nicht aber für die Sicherheitsverantwortlichen. Je besser Webanwendungen werden, desto schwieriger wird deren Job. Konfigurieren, Planen, Scannen und Verifizieren sind nur der Anfang. Hinzu kommen fast zwangsläufig umfassende Penetration Tests, für die oft weder Ressourcen noch Expertise zur Verfügung stehen. Doch wenn böswillige Akteure diese Tests übernehmen, gibt es in der Regel ein übles Ende.

Auch hier können Managed-Services helfen. In einem Managed SOC können Experten Aufgaben von der Scan-Verwaltung über die Validierung von Schwachstellen bis zur Durchführung von Penetrationstests übernehmen. So können Sicherheitsteams ihre Arbeitslast reduzieren, ihre Produktivität steigern und sich mehr Zeit für andere Aufgaben nehmen.

Fazit

Ein Managed SOC ist mehr als ein "SOC-as-a-Service" oder klassische MSSP-Angebote, die vor allem darauf ausgelegt sind, Technologie verwalten. Managed-SOC-Angebote kombinieren Schwachstellenmanagement, Detection and Response und Anwendungssicherheit auf Basis eines zentralen SIEM-Systems wie InsightIDR von Rapid7 und ergänzen solche automatisierten Lösungen durch menschliche Komponenten etwa beim Threat Hunting und beim Penetration Testing.

Über die Autorin: Georgeta Toth ist Regional Director Central Europe bei Rapid7.

(ID:48418919)