Unternehmen und Security Operations Center Welche Vorteile hat ein SOC?

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

Outpost24 GmbH

Varonis Systems (Deutschland) GmbH

Es ist längst mehr als eine gefühlte Wahrheit: Zahlreiche Studien zeigen, dass Unternehmen nicht nur immer häufiger angegriffen werden, sondern auch dass sich die Cyberbedrohungen schwerwiegender und die Schäden gravierender darstellen. Gleichzeitig herrscht ein akuter Fachkräftemangel in der gesamten IT, besonders aber bei IT-Sicherheits­spezialisten. Ein Security Operations Center scheint hier ein idealer Ausweg zu sein.

Durch ein SOC profitieren Unternehmen sofort von der (externen) Expertise und stellen eine 24/7-Überwachung ihrer Systeme sicher – alles im gewünschten Leistungsumfang und wirtschaftlich kalkulierbar. Entsprechend breit ist mittlerweile das Angebot an Dienstleistern. Welche Punkte sind bei der Entscheidung für ein SOC wichtig und welche (weiteren) Vorteile bietet das Modell?

Neues eBook „SOC für den Mittelstand“

Alternativen zum eigenen Security Operations Center

Wie arbeitet ein SOC?

Man kann sich ein SOC wie eine Art Software as a Service (SaaS) vorstellen, da es wie das Software-Vertriebsmodell in der Cloud als Abonnementdienst betrieben wird. Auf diese Weise stellt es dem Unternehmen rund um die Uhr eine zusätzliche Schicht aus „gemietetem“ Fachwissen zur Verfügung und überwacht kontinuierlich die entsprechenden Netzwerke und Endpunkte. Wird eine Schwachstelle oder ein Angriff entdeckt, kontaktiert das SOC das IT-Team vor Ort, um gemeinsam auf das Problem zu reagieren und die Ursache zu untersuchen und zu bekämpfen.

Die verschiedenen SOC-Anbieter unterscheiden sich in den angebotenen Produkten und Dienstleistungen teilweise erheblich. Es gibt jedoch einen Kernbereich von operativen Funktionen, die ein SOC erfüllen muss, um einen Mehrwert für ein Unternehmen zu schaffen. Im Wesentlichen sind dies sieben Kompetenzen:

• 1. Bestandsaufnahme: Es ist schon fast eine Binsenweisheit, die aber gar nicht oft genug wiederholt werden kann: Man kann nur das schützen, was man kennt. Insofern muss auch das SOC genau wissen, welche Ressourcen überhaupt geschützt werden müssen. Eine Bestandsaufnahme sollte entsprechend jeden Server, Router, jede Firewall sowie alle anderen aktiv eingesetzten Cybersicherheitstools identifizieren.

• 2. Logging: Daten bilden die Grundlage für einen effektiven Betrieb des SOC und Protokolle sind hierbei die wichtigste Informationsquelle zur Beurteilung der Netzwerkaktivitäten. Ein SOC sollte direkte Feeds aus Unternehmenssystemen einrichten, damit die Daten in Echtzeit erfasst werden. Die Unmenge an so generierten Daten ist manuell nicht zu bearbeiten, weshalb Log-Scanning-Tools, die auf Algorithmen der künstlichen Intelligenz basieren, für SOCs unerlässlich sind.

• 3. Präventive Wartung: Im besten Fall ist das SOC in der Lage, Cyberangriffe zu verhindern, indem es proaktiv agiert. Dazu gehören die Installation von Sicherheitspatches und die regelmäßige Anpassung von Firewall-Richtlinien. Da einige Cyberangriffe als Insider-Bedrohungen beginnen, muss ein SOC auch innerhalb des Unternehmens nach Risiken suchen.

• 4. Kontinuierliche Überwachung: Um auf einen Cybersicherheitsvorfall reagieren zu können, muss das SOC bei seinen Überwachungspraktiken stets wachsam sein. Ein paar Minuten können hier den Unterschied zwischen dem Blockieren eines Angriffs und dem Herunterfahren eines ganzen Systems oder einer Website ausmachen. SOC-Tools führen Scans im gesamten Unternehmensnetzwerk durch, um potenzielle Bedrohungen und andere verdächtige Aktivitäten unmittelbar zu identifizieren und bekämpfen zu können.

• 5. Alarmmanagement: Automatisierte Systeme sind hervorragend darin, Muster zu finden und Skripte zu befolgen. Wenn es aber darum geht, automatisierte Warnmeldungen zu analysieren und nach Schweregrad und Priorität zu bewerten, kommt es auf das „menschliche Element“ und die Expertise der SOC-Mitarbeiter an. Diese müssen überprüfen, ob eine Warnung legitim oder nur ein False Positive ist, und wissen, welche Maßnahmen sie ergreifen müssen.

• 6. Ursachenanalyse: Nachdem ein Vorfall eingetreten und behoben ist, beginnt der Job des SOC gerade erst: Cybersicherheitsexperten analysieren die Ursache des Problems und diagnostizieren, warum es überhaupt aufgetreten ist. Dies mündet in einen Prozess der kontinuierlichen Verbesserung, bei dem Sicherheitswerkzeuge und -regeln modifiziert werden, um zukünftige Ereignisse desselben Vorfalls zu verhindern.

• 7. Compliance-Audits: Unternehmen wollen nicht nur den Schutz ihrer Daten sicherstellen, sondern auch in Zeiten der DSGVO und anderer gesetzlicher Vorgaben, dass diese gesetzeskonform verwaltet werden. Entsprechend müssen SOC-Anbieter regelmäßig Audits durchführen, um ihre Einhaltung in den Regionen, in denen sie tätig sind, zu bestätigen.

Exabeam „State of the SOC“ Report

Fehlende Transparenz ist ein Sicherheitsrisiko

Welche Vorteile bietet ein SOC?

Durch die Digitalisierung wurde Cybersicherheit für (nahezu) jedes Unternehmen aus jeder Branche zur ernsten Herausforderung und sollte entsprechend eine Top-Priorität darstellen. Das SOC-Modell bietet hier in vielen Situationen einige Vorteile. Gleichwohl sollte den Sicherheitsverantwortlichen des Unternehmens immer auch bewusst sein, dass durch das Outsourcing ihrer IT-Sicherheitsaktivitäten stets auch ein gewisses Risiko einhergeht.

Finanzielle Vorteile

Für die meisten Unternehmen ist das Gehalt der Mitarbeiter der größte Posten in ihrem Budget. Die Beschäftigung eines ganzen Teams von (teuren, weil gefragten) Cybersicherheitsexperten erfordert eine gewisse Vorlaufzeit und kontinuierliche Investitionen. Setzt man auf das SOC-Modell, bezahlt man einen bestimmten, kalkulierbaren Betrag für eine konkrete Dienstleistung mit klaren Bedingungen und weniger Haftung.

Minimierung von Ausfallzeiten

Wenn eine Website oder Anwendung ausfällt, bedeutet das oft Umsatzeinbußen oder einen negativen Einfluss auf den Ruf eines Unternehmens. Die Verwendung eines SOC kann diese Auswirkungen minimieren und die Zeit bis zur Behebung von Vorfällen wesentlich verkürzen. Selbst die zuverlässigsten Tools sind nicht perfekt, so dass die Einrichtung eines Security Operations Center die Redundanz im Netzwerk erhöht.

Erfahrung und Expertise

SOCs sind seit etlichen Jahren etabliert und konnten so bewährte Verfahren entwickeln. Dieses Know-how steht den Kunden sofort zur Verfügung, während der Aufbau interner Kompetenzen zeitaufwändig und kostenintensiv sein kann. Das interne IT-Team hat in aller Regel andere Prioritäten und Kernkompetenzen, so dass die Auslagerung von Cybersicherheitsaktivitäten an ein SOC zudem positiv zur Steigerung von Produktivität und Effizienz beitragen kann.

Automatisierung

SOC-Teams müssen so effizient wie möglich sein. Das bedeutet, dass sie nicht die ganze Zeit damit verschwenden können, Log-Einträge zu lesen und den Traffic zu beobachten. Stattdessen setzen sie hochentwickelte Automatisierungs-Tools auf Basis maschinellen Lernens ein, die Muster identifizieren und sie auf die wesentlichen Probleme hinweisen.

Ständige Entwicklung

Cyberkriminelle sind immer auf der Suche nach neuen Angriffsformen, die Unternehmen und Einzelpersonen nicht erwarten. Um ihnen immer einen Schritt voraus zu sein, müssen die SOC-Teams für eine wirkungsvolle Abwehr den gleichen kreativen Ansatz verfolgen. So sind Penetrations- und Chaostests wichtige Aktivitäten des Security Operations Center, da sie die Teams zwingen, nach Schwachstellen zu suchen, die an unerwarteten Orten vorhanden sind.

Es spricht also sehr vieles für den Einsatz eines SOC. Selbstverständlich muss dieses nicht zwangsläufig extern betrieben werden. Unternehmen sind durchaus in der Lage, auch ein internes Security Operations Center aufzubauen. Wichtig ist nur, dass dessen Mitglieder sich ausschließlich rund um die Uhr mit IT-Sicherheit auseinandersetzen und nicht mit den alltäglichen Belangen einer (ebenso wichtigen) IT-Abteilung beschäftigen müssen. Cybersecurity ist nämlich längst zu einem Fulltime-Job geworden und kann nicht mehr nebenbei gewährleistet werden.

Über den Autor: Klaus Nemelka ist Technical Evangelist bei Varonis Systems.

(ID:46378834)