Security Operation Center (SOC) – Vom Alarm zur Lösung

In Zeiten von erhöhter Cyberkriminalität wird Unternehmen mehr und mehr bewusst, dass sie immer wieder auf neue Herausforderungen in diesem Bereich reagieren müssen. Hacker entwickeln immer kompliziertere Angriffsmethoden, welche oft  an die jeweilige Unternehmensstruktur angepasst werden. In diesem Artikel werfen wir einen Blick darauf, warum Security Operation Centers (SOCs) heute so wichtig sind und welche Ziele sie verfolgen.

Was ist ein SOC?

Mit einem Security Operation Center (SOC) ist ein Unternehmen ein Stück mehr darauf vorbereitet, auf IT-Sicherheitsvorfälle oder Auffälligkeiten reagieren zu können. Dies wird sichergestellt durch die ständige Überwachung, Erkennung und Analyse der IT-Infrastruktur. Ziel hierbei ist es, Bedrohungen und Sicherheitsvorfälle schnellstmöglich erkennen zu können und mit der Reaktion den Schutz der IT-Sicherheit und die Integrität von Daten und Systemen sicherzustellen. Es ist speziell auf die Sicherheitsüberwachung ausgerichtet und kann hierbei auf eine Vielzahl von Tools, wie etwa SIEM-Systemen (Security Information and Event Management) zurückgreifen, um die angesprochenen Bedrohungen zu erkennen, einzuordnen und entsprechende Maßnahmen einzuleiten. Ein SOC kann gewissermaßen also als Schritt in Richtung mehr Sicherheit betrachtet werden.

Ziele und Aufgaben eines Security Operation Centers

Durch die Implementierung von Tools wie einem SIEM, IDS und IPS soll sichergestellt werden, dass das Netzwerk 24/7 überwachbar und schützbar ist. Dabei wird eine Anomalie-Erkennung durchgesetzt, mit der eine Identifikation ungewöhnlicher Aktivitäten möglich ist. So können Prozesse überwacht, aber auch eingeschätzt werden, um mögliche Aktivitäten, die im Hintergrund ausgeführt werden, zu identifizieren.

Bei Angriffen durch Dritte, z. B. „Hackergruppen“, zählt oft jede Minute, deshalb ist es umso wichtiger, möglichst schnell auf eine Anomalie zu reagieren. Bei einem Incident könnte so im Ernstfall eine Verschlüsselung der Systeme verhindert werden. Und je schneller eine verdächtige Aktivität vom SOC entdeckt wird, desto schneller kann darauf reagiert werden.

Auch der Schutz vor wiederkehrenden Bedrohungen ist nicht zu unterschätzen. Durch ein proaktives Bedrohungsmanagement können aktuelle Bedrohungen und Schwachstellen identifiziert und zukünftig nicht wieder „hereingelassen“ werden. Ein Beispiel hierfür wären automatisierte wiederkehrende Aufgaben, wie die Blockierung von auffälligen IPs oder auch die Isolation von kompromittierten Geräten, um die Effizienz zu erhöhen. Im Gesamten wird hierdurch die Systemintegrität und die Sicherheit der Daten – seien es Kunden- oder Unternehmensdaten – sichergestellt bzw. erhöht.

Technische Umsetzung eines SOCs

Für die Implementierung eines SOCs müssen vielerlei Dinge beachtet werden, um eine einwandfreie technische Funktionsweise zu gewährleisten. Bspw. sollte ein Plan der Netzwerkarchitektur bestehen. Das ist wichtig, damit keine Systeme vergessen werden. Einige Systeme wirken eventuell auf den ersten Blick unwichtig, sind für die ständige Überwachung aber durchaus von Bedeutung.

Hauptsächlich werden Logdaten aus verschiedenen Systemen zusammengeführt und zentral auf einem isolierten System abgelegt. Auf dieses System kann das SOC zugreifen und die (Log)Daten analysieren. Das Ganze wird durch ein SIEM-System unterstützt, welches den technischen Part übernimmt und die Daten, die für die Auswertung notwendig sind, sammelt und an die dafür bestimmte Stelle bewegt.

Die Nutzung von Playbooks unterstützt die sichere und vor allem schnelle Umsetzung von Maßnahmen, die im Ernstfall vom Personal durchgeführt werden müssen. Zusätzlich kann auf Automatisierungslösungen zurückgegriffen werden, um standardisierte Reaktionen auf häufige Bedrohungen zu gewährleisten.

Jedoch zählt wie bei allem nicht nur die „Sicherheit“. Das SOC-Team sollte in jedem Fall in engem Kontakt mit der IT des Unternehmens stehen. Technische Komplikationen werden häufig von den Tools als Anomalien erkannt, obwohl die IT dafür eine einfache Erklärung hat. Dies liegt daran, dass viele IT-Infrastrukturen historisch gewachsen sind und eine neue, „richtige“ Konfiguration der Systeme ein hoher Zeitaufwand wäre.

Von SIEM bis Endpoint Protection

Um große Datenmengen erfassen und analysieren zu können, sind Tools in einem SOC unverzichtbar. Eine manuelle Überwachung wäre bei größeren Infrastrukturen nicht abbildbar. In jedem Fall dürfen folgende technische Komponenten in einem SOC nicht fehlen:

• Logs sind eine der besten Quellen, um sich relevante Informationen vom System zu beschaffen. Deshalb ist es essenziell, zu bestimmen, welche Logs gesammelt und ausgewertet werden. Ein zusätzliches Tool, welches die Logs verwaltet, kann den gesamten Prozess rund um die Analyse vereinfachen. In guten SIEM-Lösungen sind solche Tools normalerweise enthalten.
• Den Kern eines SOC bilden meist SIEM-Lösungen ab. Diese sammeln die o. g. Logs und werten sie aus, um mögliche Anomalien zu entdecken und potenzielle Angriffsmuster zu erkennen. Sie lösen anschließend einen Alarm aus, auf den das SOCTeam reagiert. Im Idealfall liefert eine SIEM-Lösung ein grafisches Dashboard, welches die gesammelten und ausgewerteten Informationen übersichtlich darstellt.
• Cyberkriminelle nutzen Schwachstellen immer wieder, um in die Infrastruktur eines Unternehmens einzudringen. Ein Schwachstellenmanagement-System ist daher ein Muss für jedes SOC. Es ermöglicht dem Team, bei neu entdeckten Schwachstellen sofort zu reagieren und diese zu schließen. Idealerweise, bevor Angreifer sie ausnutzen können.
• Endpoint Protection und Reaktion auf entdeckte Gefahren dürfen in einem SOC auch nicht fehlen. Diese können im besten Fall mit Cyber Threat Intelligence Tools kombiniert eine herausragende Abwehr gegen mögliche Szenarien sein, die von Standard-Angriffsmustern abweichen.

Was für Arten von Security Operation Centers gibt es?

SOC ist nicht gleich SOC. Unternehmen müssen mehr und mehr darauf achten, wie sie ihre Infrastruktur sicherer machen. Es kann jedoch schnell kostspielig oder umständlich werden, wenn es um die Wahl der richtigen Lösung geht. Die Implementierung eines SOCs ist also individuell – jedes Unternehmen hat andere Bedürfnisse und Anforderungen, weshalb es unterschiedliche Modelle gibt.

In-house SOC

Dieses wird vollständig vom Unternehmen selbst verwaltet und betrieben. Hierzu zählt neben der vorausgesetzten Technik auch das Personal sowie neue Prozesse, die mit dem Betreiben eines SOCs einhergehen. Das Unternehmen kann hier eine hohe Kontrolle der Systeme durchsetzen und hat alles im Blick. Zusätzlich können unternehmensspezifische Anpassungen in Hardware oder Software gesetzt werden. Wie bei allem gibt es jedoch auch Nachteile, welche durch den hohen bzw. zusätzlichen Personalaufwand und auch den Kostenaufwand für Aufbau, Betrieb und kontinuierliche Weiterentwicklung widergespiegelt werden.

Managed SOC

Mittlerweile gibt es eine große Anzahl an Anbietern, die SOCs für Unternehmen anbieten. Hierbei liegt aller Aufwand beim Drittanbieter. Personal, Hardware, Software, Ressourcen allgemein. Das Unternehmen zahlt für diese Dienstleistung zwar mehr Geld, ist jedoch entlastet, was das Überwachen von Sicherheitsvorfällen angeht. Oftmals sind Unternehmen froh, dass sie diese Aufgabe nicht selbst abbilden müssen.

Hybrid SOC

Eine Mischform aus beiden ist selbstverständlich auch möglich. Hierbei sind fast keine Grenzen gesetzt. Ein Unternehmen kann z. B. die reinen SOC-Funktionen übernehmen, aber die Ressourcen, wie die Hardware, die dafür notwendig ist, auslagern. Trotzdem handelt es sich dabei um ein SOC. Eine andere Möglichkeit kann sein, dass innerhalb der Geschäftszeiten die Verwaltung des SOCs durch das Unternehmen betrieben wird und außerhalb der Geschäftszeiten ein Drittanbieter übernimmt.

Virtuelles SOC

Selbstverständlich darf auch eine rein cloudbasierte Möglichkeit nicht fehlen. Hierbei benötigt es keine physische Infrastruktur im Unternehmen, da diese in der Cloud bei einem Drittanbieter liegt und dort betrieben wird. Die Sicherheitssysteme und -dienste werden hierbei ebenfalls über die Cloud verwaltet.

Klare Vorteile einer solchen Lösung sind die Flexibilität und Skalierbarkeit. Kein System ist schneller skalierbar als eine Cloudlösung, da man meist von „jetzt auf gleich“ mehr Speicherplatz, Arbeitsspeicher oder ähnliche Komponenten dazu buchen kann. Das Personal muss bei dieser Lösung außerdem nicht vor Ort sein. Trotzdem muss das Unternehmen diesen Aufwand natürlich einkalkulieren, sprich bspw. zusätzliche Personalkosten bedenken. Das kann Vor- und Nachteil sein. Vorteil an einem internen SOC ist etwa, dass fachkundige Mitarbeitende zur Verfügung stehen, die die Infrastruktur meist besser kennen als externe Dienstleister. Eine essenzielle Vorrausetzung ist in diesem Fall eine stabile und meist auch schnelle Internetanbindung.

Alles in allem sind SOCs eine gute präventive Maßnahme

Eins steht fest: Die Implementierung eines SOCs ist ein klarer Gewinn. Richtig eingesetzt verringert ein SOC das Risiko eines erfolgreichen Angriffs erheblich. Sobald eine Schwachstelle im System auftaucht – was häufiger passiert, als gedacht – stellt das SOC durch die durchgehende Überwachung eine schnelle Reaktion sicher. So bleibt das Unternehmen besser gegen Bedrohungen geschützt und kann Sicherheitslücken schnellstmöglich schließen.

Nachteilig zu bewerten ist neben den zusätzlichen Kosten, die eine Implementierung mit sich bringt, auch der Zeitaufwand, der besonders bei technischen Komplikationen auftritt.