Da Nationalstaaten, Hacktivisten und andere kriminelle Akteure das Tempo und die Raffinesse von Cyberangriffen stetig steigern, erreichen viele Organisationen einen Punkt, an dem sie feststellen, dass sie Bedrohungen nicht mehr angemessen überwachen, erkennen und darauf reagieren können. Letztendlich schaffen sie eine zentralisierte Plattform, über die Sicherheitsteams Informationen austauschen und bei der Abwehr und Reaktion zusammenarbeiten können; diese wird in der Regel als Security Operations Center (SOC) bezeichnet.
Die Zentralisierung der Sicherheit verbessert die Fähigkeit eines Unternehmens, Cyberangriffe zu erkennen, diese zu analysieren und darauf zu reagieren ; die Einrichtung eines SOC ist jedoch nicht ohne entsprechende Überlegungen und Aufwand möglich.
Um die Sicherheitsmaßnahmen auszuweiten und schnell sowie effizient ein agiles SOC aufzubauen, sprach „ “ Endpoint mit drei Experten.
„SOCs sind keine schlüsselfertigen Lösungen“, sagt Wim Remes, Geschäftsführer und Gründer des Beratungsunternehmens Wire Security. „Es geht nicht darum, eine Menge Technik anzuschaffen, eine Menge Leute an die Tastaturen zu setzen und dann zu erwarten, dass das SOC Leistung bringt“, sagt er. „Es geht darum, zunächst die grundlegenden Fähigkeiten aufzubauen und die SOC-Fähigkeiten im Laufe der Zeit schrittweise zu verbessern und auszuweiten.“
Legen Sie Ihre Ziele fest
„SOCs haben nicht immer dieselben ursprünglichen Ziele“, sagt Gal Shpantzer, Mitbegründer der Beratungsfirma für virtuelle CISOs „Security Outliers“. Um zu erfahren, welche Ziele eine Organisation verfolgt, empfiehlt er, einige Fragen zu stellen:
- Wer sind die ersten Kunden des SOC?
- Ist es das Ziel, Dashboards für Führungskräfte bereitzustellen, oder geht es um Compliance, um „ “ oder um die Reaktion auf Sicherheitsvorfälle ()?
- Welche Erwartungen bestehen hinsichtlich Überwachung, Warnmeldungen, Analysen und Reaktionsmaßnahmen?
Die Beantwortung solcher Fragen sollte man am besten der kollektiven Weisheit der gesamten Organisation überlassen. Aus diesem Grund können Gespräche mit verschiedenen Interessengruppen dazu beitragen, Ziele zu ermitteln.
„Es geht nicht darum, … einfach eine Menge Leute an die Tastaturen zu setzen und dann zu erwarten, dass das SOC seine Leistung erbringt.“Wim Remes, Geschäftsführer und Gründer von Wire Security
„Sicherheitsarchitekten und -ingenieure sollten Gespräche mit den verschiedenen Geschäftsbereichen führen, um herauszufinden, wie diese mit den Sicherheitsteams interagieren und kommunizieren möchten“, sagt Michael Lyborg, Senior Vice President für globale Sicherheit und Unternehmens-IT bei Swimlane, einem Unternehmen, das Firmen bei der Automatisierung von Sicherheitsabläufen berät.
„Gehen Sie dann rückwärts vor, indem Sie die gewünschten Ergebnisse, die Ziele hinsichtlich der Benutzererfahrung, die Reaktionsmaßnahmen und die Benachrichtigungsabläufe festlegen.“
Führen Sie eine Lückenanalyse durch
„Möglicherweise verfügt Ihr Unternehmen bereits intern über einige der erforderlichen Kompetenzen, um Ihre Ziele zu erreichen“, sagt Remes. Der nächste Schritt besteht darin, unter die Bereiche zu ermitteln, in denen Ihre Organisation stark ist, sowie diejenigen, in denen Verbesserungsbedarf besteht.
Möglicherweise verfügt das Unternehmen bereits über ein effektives System zum Schwachstellenmanagement unter und über ein effizientes Sicherheits-Dashboard, das Einblicke in aktuelle Ereignisse bietet. Andererseits könnten Funktionen zur „ “, zur Bedrohungssuche sowie zur Reaktion auf Vorfälle fehlen. Sobald Sie Lücken identifiziert haben, können Sie einen Plan erstellen, um diese intern oder extern zu beheben.
Gewinnen Sie die richtigen Talente für Ihr Unternehmen
Zu den wesentlichen Funktionen eines SOC gehören unter anderem Sicherheitsüberwachung und -tests, die Priorisierung von Warnmeldungen, die Reaktion auf Vorfälle, die Sicherheitsverwaltung, die Behebung von Sicherheitslücken, die Suche nach Bedrohungen, Forschungsarbeiten und vieles mehr. Diese Kompetenzen sind mehr als nur eine Sammlung von Werkzeugen – sie beziehen den Verstand hinter der Tastatur mit ein.
Die Personen, die Sie benötigen, könnten bereits in Ihrem Unternehmen tätig sein, jedoch in verwandten Bereichen wie der Systemadministration oder der Sicherheit arbeiten.
Die interne Besetzung einer Stelle kann oft eine gute Wahl sein. „Es ist unerlässlich, die Umgebung zu verstehen, denn in einer Umgebung, die man nicht kennt, kann man nicht angemessen reagieren“, sagt Remes. „Sie werden nicht so effizient sein wie Personen, die zwar über weniger Fachkenntnisse im Bereich Sicherheit verfügen, dafür aber die Organisation tatsächlich kennen.“
Je nach Art der technologischen Infrastruktur des Unternehmens muss das SOC mit Teammitgliedern besetzt werden, die über eine Vielfalt an Kompetenzen verfügen. Fachwissen könnte in allen Bereichen erforderlich sein – von modernen Betriebssystemen über Mainframes und Altsysteme bis hin zur Cloud-Architektur.
Integrieren Sie wichtige Datenfeeds
Ein SOC ist im Grunde genommen eine Methode zur Analyse und Reaktion auf den Datenfluss innerhalb des gesamten Unternehmens. Bei einem neuen SOC sollten die ersten Datenfeeds aus den sensibelsten und geschäftskritischsten Systemen stammen.
Lyborg von Swimlane rät Führungskräften, die ein neu gegründetes SOC aufbauen, die Art und Taxonomie der Daten zu berücksichtigen. Ebenso wichtig ist es, ein gemeinsames Datenmodell zu erstellen, um die Integration von Tools zu beschleunigen und die Zuordnung von Informationen zu vereinfachen. In der Regel stammen die Daten nicht nur aus Sicherheitswerkzeugen, sondern auch von Servern und Endgeräten ,, , aus verschiedenen Cloud-Umgebungen, aus lokalen Systemen, aus dem Netzwerk- und Infrastrukturbetrieb sowie aus Identitätsmanagementsystemen.
[Lesen Sie auch: 5 Schritte zum Schutz der „Kronjuwelen“ Ihres Unternehmens – Ihrer Daten]
Um die Datenquellen zuzuordnen, empfiehlt Shpantzer, deren physischen Standort zu berücksichtigen: „Befinden sie sich vor Ort? Befinden sie sich in Cloud-Systemen? „Und verfüge ich über die erforderlichen Data-Engineering-Kenntnisse – sei es intern oder durch externe Berater –, um im Wesentlichen das zu erstellen, was manche als Datenpipeline bezeichnen würden, um diese Protokolle aus verschiedenen traditionellen und modernen Methoden zu erfassen?“
Setzen Sie die neuesten Werkzeuge ein
Am sinnvollsten ist es, zunächst eine solide Basis an Kernfunktionen zum Laufen zu bringen und darauf aufzubauen. Bei einem neuen SOC sollten Sie zunächst die Sicherheitsüberwachung und die Ereigniserkennung in Ihre Reaktionskapazitäten integrieren. Sobald die Grundlagen geschaffen sind, ist es an der Zeit, über die Einführung fortgeschrittener Funktionen nachzudenken, wie beispielsweise „ “, „Threat Hunting“, „Red Teaming“, Forensik und „Threat Intelligence“ sowie weitere Spezialgebiete.
In einer Umfrage mit dem Titel „ 2021 “ () stellte das SANS Institute fest, dass SOCs am häufigsten Tools und Verfahren wie virtuelle private Netzwerke (VPNs), Security Information and Event Management (SIEM), E-Mail-Sicherheit, Anti-Malware, Behebung von Sicherheitslücken, hostbasierte Erkennung und Reaktion, Firewalls, Intrusion Detection Systeme (IDS) sowie Intrusion Prevention Systeme (IPS) einsetzen. Diese Reihe von Tools zeigt, dass die Mehrheit der Befragten daran interessiert war, die Sicherheit ihrer SOC-Kommunikation zu gewährleisten und gleichzeitig die Überwachung von Bedrohungen, die Abwehr von Angriffen sowie die Reaktion auf Vorfälle sicherzustellen.
Entscheiden Sie, was Sie auslagern möchten
Angesichts der Tatsache, dass Millionen von Stellenangeboten im Bereich Informationssicherheit unbesetzt bleiben, könnte es für Unternehmen praktischer und kosteneffizienter sein, Aufgaben auszulagern, die intern nicht ohne Weiteres zu vergeben sind.
„Sicherheitsarchitekten und -ingenieure sollten Gespräche mit den verschiedenen Geschäftsbereichen führen, um herauszufinden, wie diese mit den Sicherheitsteams interagieren und kommunizieren möchten.“Michael Lyborg, Senior Vice President für globale Sicherheit und Unternehmens-IT bei Swimlane
Die SANS-Umfrage ergab, dass 38 % der Befragten ihr SOC 24 Stunden am Tag intern betreiben; 15 % ihr SOC vollständig auslagern; und 31 % eine Kombination aus interner und ausgelagerter Überwachung nutzen. Um die Kosten zu kontrollieren, betreiben 16 % ihr SOC 7.12. nicht.
Unternehmen verfügen oft nicht über genügend Arbeit, um spezialisierte Fachkräfte auszulasten. Viele lagern daher spezialisierte Kompetenzen je nach Bedarf aus. Die SANS-Umfrage ergab, dass zu den am häufigsten ausgelagerten Aufgaben Penetrationstests, Red-Teaming, Forensik und Bedrohungsanalyse gehören.
Streben Sie nach kontinuierlicher Weiterentwicklung
Sobald ein SOC in Betrieb genommen wurde, verlagert sich der Schwerpunkt darauf, Funktionen hinzuzufügen, bereits vorhandene Funktionen weiterzuentwickeln und den Betrieb im Laufe der Zeit zu optimieren. Ein Rahmenwerk mit bewährten Verfahren kann dabei helfen, unmittelbar wesentliche Fähigkeiten zu identifizieren und den Reifegrad einzuschätzen. Zu den gängigen Rahmenwerken zählen das Cybersicherheits-Rahmenwerk des National Institute of Standards and Technology (NIST CSF), das ATT&CK-Rahmenwerk von Mitre sowie das SOC-Fähigkeits- und Reifegradmodell (SOC-CMM).
Im Allgemeinen reift ein SOC in dem Maße, wie weitere Funktionen hinzugefügt werden, wie mehr Abläufe automatisiert werden können, wie die Sicherheit einen zunehmenden Anteil der kritischen Ressourcen eines Unternehmens abdeckt und wie Bedrohungen auf der Grundlage des Geschäftsrisikos priorisiert und gemindert werden.
„Es ist wichtig, nicht zu schnell zu viel zu erwarten“, sagt Remes. „Das wird nicht einfach so von heute auf morgen geschehen.“ „Sie beginnen mit einfachen und sehr manuellen Aufgaben und werden im Laufe der Zeit zunehmend operativ und automatisiert arbeiten.“
Kurz gesagt: Lassen Sie das Perfekte nicht zum Feind des Guten werden. Schließlich ist der Aufbau eines agilen Sicherheitsteams nach dem anfänglichen Sprint ein Marathon.
