Tool-Overload überfordert SOC-Analysten Zeitfaktor entscheidet über Schadens­begrenzung bei Cyberangriffen

Anbieter zum Thema

FTAPI Software GmbH

Viele isolierte Sicherheitstools erzeugen eine Flut von Warnmeldungen und erschweren die Korrelation von Ereignissen. SIEM-Plattformen brechen diese Silos auf: Sie führen Daten aus EDR, XDR, NDR und Identity-Ma­nage­ment zentral zusammen, korrelieren Bedrohungen und ermöglichen au­to­ma­ti­sie­rte Reaktionen durch SOAR – das verkürzt MTTD und MTTR messbar.

Zeit spielt eine entscheidende Rolle bei der Cybersicherheit. Sie beeinflusst viele verschiedene Aspekte der Cybersicherheitsstrategie eines Unternehmens – vom Zeitstempel sicherheitsrelevanter Ereignisse, über den Zeitpunkt deren Auftretens (zum Beispiel während oder außerhalb der Geschäftszeiten) und deren Kontext (zum Beispiel nach einer größeren Veränderung im Unternehmen oder zu einer bestimmten Jahreszeit) bis hin zur Zeit, die benötigt wird, um einen sicherheitsrelevanten Vorfall zu erkennen und darauf zu reagieren. Während die meisten dieser zeitbezogenen Faktoren außerhalb der Kontrolle der jeweiligen Sicherheitsverantwortlichen liegen, fällt die Zeit, die für Erkennung und Reaktion benötigt wird, eindeutig in ihren Verantwortungsbereich.

Die Bedeutung von Kennzahlen für die Cybersicherheit

7 unverzichtbare KPIs für Cyber-Resilienz

Viel hilft nicht immer viel

Bei der Entwicklung einer Cybersicherheitsstrategie gilt nicht immer „viel hilft viel“. Noch mehr verschiedene Tools, Datensätze und isolierte Maßnahmen führen vielmehr häufig dazu, dass das Erkennen von Bedrohungen und die Reaktion auf diese länger dauert und weniger effizient abläuft.

Allein die Menge der von mehreren, unabhängig voneinander agierenden Tools generierten Warnmeldungen kann die Analysten im Unternehmen schlicht überfordern und die forensische Analyse von Vorfällen erschweren. Und auch wenn die durchschnittliche Erkennungszeit (Mean Time to Detect (MTTD)) für einzelne Tools gering sein mag, können sich die Zeiten bei vielen verschiedenen Tools summieren, wenn für die Korrelation von Ereignissen und die Identifizierung von Ursachen verschiedene Tools und Systeme erforderlich sind.

Die durchschnittliche Reaktionszeit (Mean Time to Respond (MTTR)) sollte ebenfalls so gering wie möglich gehalten werden. Eine verzögerte Reaktion kann die negativen Auswirkungen eines Angriffs noch verstärken – von finanziellen bis hin zu Reputations­schäden. Selbst wenn die Auswirkungen möglicherweise nicht sofort ersichtlich sind, steigen die Kosten eines Vorfalls mit einer längeren Reaktionszeit, wie der IBM-Bericht „Cost of a Data Breach Report 2025“ zeigt.

Wichtige Schwellenwerte des Risk Managements

Optimierung der Geschäftskontinuität mit RPO, RTO und MTD

Sicherheitsrelevante Silos aufbrechen

Früher arbeiteten Angestellte in traditionellen IT-Umgebungen innerhalb definierter organisatorischer Grenzen. Heute umfasst die digitale Arbeitswelt weit mehr als nur physische Büros und erstreckt sich oftmals sogar über Landesgrenzen hinweg. Diese große Angriffsfläche erschwert es IT- und Sicherheitsteams, alle relevanten Endgeräte und Netzwerkaktivitäten sowie potenzielle Bedrohungen zu überwachen. Die Nutzung privater Endgeräte für die Arbeit, von Schatten-IT und nicht autorisierte Anwendungen vergrößert die Angriffsfläche noch einmal zusätzlich.

Moderne IT-Prozesse umfassen zudem ein breites Spektrum an Abläufen, von der Bereitstellung von Geräten und der Verwaltung von Zugriffsberechtigungen bis hin zum Patchen von Schwachstellen, der Überwachung von Benutzeraktivitäten und der Erkennung potenzieller Bedrohungen. Um diese Komplexität zu bewältigen, setzen Teams üblicherweise auf dedizierte Tools wie Endpoint Detection and Response (EDR), Extended Detection and Response (XDR) und Network Detection and Response (NDR) – ergänzt durch Identity-Management- sowie weitere Cybersicherheits-Lösungen.

Mit jedem neuen Tool, das in den Tool-Stack des Unternehmens aufgenommen wird, wird es jedoch schwieriger, den Überblick zu behalten. Das Volumen der von ihnen generierten Protokolle und Warnmeldungen kann enorm sein, was es für Analysten im Unternehmen schwierig macht, Bedrohungen effektiv zu priorisieren. Der wichtigste Schritt für jedes Security-Operations-Center-Team (SOC) ist es deshalb, diese sicherheitsrelevanten Silos zu beseitigen. Nur dann kann ein umfassendes und klares Bild der Sicherheitslage im Unternehmen entstehen.

Die neue Währung der Cyberresilienz

Time-to-Recovery statt Time-to-Detection

Das SOC SIEMulieren

Eine einfache Lösung besteht darin, eine umfassende SIEM-Plattform (Security Information and Event Management) einzusetzen, die Daten aus mehreren Quellen erfassen und in bestehende Tools im IT-Ökosystem integrieren kann. Die Auswahl der richtigen SIEM-Plattform und des richtigen Bereitstellungsmodells ist in diesem Zusammenhang entscheidend, um sicherzustellen, dass die Lösung mit den tatsächlichen Sicherheitsanforderungen im Unternehmen übereinstimmt.

Der Hauptvorteil einer SIEM-Lösung liegt im Grad der Transparenz und der zentralisierten Bedrohungserkennung, die sie ermöglicht. SIEM-Tools können zum Beispiel sowohl einzelne Ereignisse analysieren als auch Sicherheitsvorfälle anhand von Protokolldaten erkennen. Sie können zudem automatisierte Reaktionen auslösen, um die Auswirkungen von Cyberangriffen zu mindern. Dafür nutzen SIEM-Lösungen in der Regel drei Ansätze:

• 1. Integration mit bestehenden Tools: SIEM-Lösungen können über APIs, Datenbankverbindungen oder Standardprotokolle zur Datenerfassung in verschiedene Tools integriert werden. Sobald die Daten erfasst sind, werden sie geparst, normalisiert und analysiert, um verwertbare Erkenntnisse zu liefern.

• 2. Nutzung von Bedrohungsinformationen: Moderne SIEM-Plattformen binden externe Threat-Feeds- und Threat-Intelligence-Datenbanken ein. Wenn diese Daten mit Netzwerkaktivitäten im Unternehmen korreliert werden, können Bedrohungsquellen identifiziert, Anzeichen für Kompromittierungen erkannt und sogar Anzeichen für Datenschutzverletzungen durch Dark-Web-Überwachung aufdeckt werden.

• 3. Nutzung vordefinierter Workflows und Playbooks: Automatisierte Workflows und Reaktions-Playbooks ermöglichen eine schnellere Abwehr von Bedrohungen. Sie gewährleisten zudem eine konsistente Bearbeitung von Vorfällen, auch außerhalb der Geschäftszeiten des Unternehmens.

SIEM vs. XDR

Ist SIEM wirklich tot?

SIEM + SOAR = Vollständige Sicherheitsautomatisierung

Während sich SIEM-Plattformen auf die Erkennung und Korrelation fokussieren, gehen SOAR-Lösungen (Security Orchestration, Automation and Response) noch einen Schritt weiter: sie automatisieren auch die Maßnahmen zur Reaktion auf sicherheitsrelevante Vorfälle. Durch die Integration von SIEM und SOAR können Unternehmen automatisch entsprechende Prozesse auslösen, um beispielsweise kompromittierte Endpoints zu isolieren, gehackte Konten zu deaktivieren oder Vorfälle, inklusive kompletter Dokumentation, weiterzuleiten.

Diese Integration reduziert nicht nur die MTTR, sondern unterstützt SOC-Teams auch dabei, kritische Bedrohungen effizient zu priorisieren. So können sich menschliche Analysten auf strategische Entscheidungen konzentrieren, anstatt sich mit wiederkehrenden operativen Aufgaben zu befassen. Ein weiterer großer Vorteil einer SIEM-Lösung ist ihre Fähigkeit, auf Data Lakes zu arbeiten – also Speicherbereichen, in denen große Mengen an Rohdaten in ihrem ursprünglichen Format vorgehalten werden.

Durch die zentrale Zusammenführung von Daten aus isolierten Tools in einem gemeinsamen Data Lake kann die SIEM-Lösung komplexe Korrelations- und Analysevorgänge in großem Maßstab durchführen. Das verbessert die Kosteneffizienz, Skalierbarkeit und analytische Tiefe. Allerdings bringt sie auch Herausforderungen wie Datennormalisierung, Echtzeit-Parsing und Datenanreicherung mit sich, die gelöst werden müssen, um Analysegenauigkeit und durchgehende Leistung zu gewährleisten.

Moderne SIEM-Tools unterstützen zudem eine verhaltensbasierte Bedrohungserkennung. Sie können normale und legitime Netzwerkaktivitäten erkennen und Abweichungen davon sowie Insider-Bedrohungen und Kontoübernahmen identifizieren, bevor diese Schaden anrichten können. Darüber hinaus können SIEM-Lösungen Ereignisse dem MITRE-ATT&CK-Framework zuordnen und so menschliche Analysten dabei unterstützen, die Taktiken, Techniken und Vorgehensweisen von Angreifern über verschiedene Angriffsphasen hinweg nachzuvollziehen.

Security Orchestration, Automation and Response (SOAR)

5 Wege, wie SOAR die Cybersicherheit revolutioniert

Eine Zukunft der Cybersicherheit und -resilienz

Cybersicherheit ist ein kontinuierlicher Prozess der Iteration und Verbesserung und keine einmalige Implementierung. Unternehmen sollten dafür über eine klare Strategie verfügen und diese auch regelmäßig überarbeiten.

Aufgrund mangelnder personeller und technischer Ressourcen ist das Auslagern von SOC-Operationen an Managed Security Service Provider ein Trend, der sich bei Unternehmen aktuell großer Beliebtheit erfreut, zumal externe Partner oftmals zusätzliche Sicherheitsexpertise mitbringen. Dabei sollten Unternehmen jedoch stets die Sensibilität ihrer Unternehmensdaten und ihre Compliance-Anforderungen berücksichtigen, denn die Sicherheit von Daten spielt eine entscheidende Rolle für die Reputation eines Unternehmens. Jeder Sicherheitsvorfall oder Datenverlust kann erhebliche finanzielle und reputative Schäden verursachen.

Auch wenn mehr Daten auf den ersten Blick als Vorteil erscheinen, entsteht ein echter Mehrwert erst dann, wenn diese Daten effektiv analysiert und als Basis für Entscheidungen genutzt werden können. Andernfalls erhöhen sie lediglich die Speicherkosten, ohne die Sicherheit zu verbessern. Das übergeordnete Ziel sollte demnach darin bestehen, Ausfallzeiten zu minimieren und die kontinuierliche Verfügbarkeit wichtiger Ressourcen sicherzustellen, um einen reibungslosen und unterbrechungsfreien Geschäftsbetrieb zu gewährleisten.

Technische und organisatorische Sicherheitsmaßnahmen

Diese Security-Basics sind für Unternehmen ein Muss

Um dies zu erreichen, muss der Fokus auf der Reduzierung von MTTD und MTTR liegen. Durch den Einsatz zentralisierter Lösungen zur Bedrohungserkennungen wie SIEM, in Kombination mit automatischen Reaktionen auf sicherheitsrelevante Vorfälle durch SOAR, können Unternehmen potenziell relevante Ereignisse aus mehreren Tools korrelieren, Bedrohungen schneller erkennen und reagieren, bevor diese Schaden anrichten. Auf diese Weise werden Daten zu verwertbaren Informationen, die proaktiven Schutz ermöglichen und sicherstellen, dass Sicherheitsmaßnahmen die Cyberresilienz des Unternehmens tatsächlich verbessern.

Da sich künstliche Intelligenz (KI) ständig weiterentwickelt, sollten Unternehmen deren Möglichkeiten nutzen, um Bedrohungen zu erkennen, automatisiert darauf zu reagieren, und vorausschauende Analysen potenzieller Bedrohungen zu verbessern. KI-gesteuerte Analysen können die MTTD erheblich reduzieren, indem sie Muster, Anomalien und potenzielle Bedrohungen schneller identifizieren als herkömmliche regelbasierte Systeme. Zudem können KI-gestützte Automatisierung und Unterstützung von Entscheidungsfindungsprozessen die MTTR senken, indem sie eine schnellere Priorisierung und Behebung von Sicherheitsvorfällen ermöglichen.

Letztendlich sollten Unternehmen jedoch Sicherheitslösungen wählen, die ihrem Sicherheitsreifegrad, ihrer Infrastrukturgröße und ihren Automatisierungszielen entsprechen, um sich in einer kontinuierlich wandelnden Bedrohungslandschaft effektiv zu schützen.

Über den Autor: Raghav Iyer ist Senior IT Security Analyst bei ManageEngine.

(ID:50781146)