Teamarbeit und Automatisierung als Grundlagen eines SOC

Ein Security Operations Center (SOC) erkennt Angriffe auf Unternehmensressourcen, reagiert auf sie und behebt möglicherweise bereits eingetretene Schäden. In einem Satz zusammengefasst klingt das sehr einfach und erscheint vollkommen logisch: Genau so sollte IT-Sicherheit in Unternehmen schließlich funktionieren.

Was leicht gesagt ist, ist in der Praxis jedoch sehr schwer umzusetzen. Warum das so ist und was man beim Aufbau eines SOC und eines SOC-Teams beachten sollte, versteht man am besten, wenn man sich vorab mit der Funktionsweise und den neuralgischen Punkten des SOC-Betriebs befasst.

Bereits die erste Forderung an ein SOC - Angreifer zu erkennen - ist problematisch. Je nachdem, welche Untersuchung man heranzieht und welche Region und Firmengröße man betrachtet, bewegen sich Angreifer in Firmennetzwerken bereits einige Tage, einige Woche oder sogar einige Monate, bevor sie entdeckt werden.

Das ist nicht im Sinne des SOC-Konzepts. Angreifer müssen stattdessen entdeckt werden, bevor sie ernsthaften Schaden anrichten können und gestoppt werden, bevor sie auch nur einen Teil ihrer Ziele erreicht haben. Im Fußball und anderen Sportarten nennt man das Forechecking. Das eigene Team versucht, die gegnerischen Angriffe so weit wie möglich vor dem eigenen Tor zu unterbinden - statt ihnen zahlreiche Möglichkeiten anzubieten, ein Tor zu erzielen.

In der IT wird der Gedanke auch aufgegriffen: Immerhin hat die Verweildauer von Angreifern in Firmennetzwerken in den vergangenen Jahren tendenziell abgenommen. Die Investitionen der Firmen in mehr IT-Security zahlen sich also teilweise aus.

Zeit ist Sicherheit

Andererseits ist die Verweildauer nur ein Indikator dafür, wie viel Schaden tatsächlich angerichtet wurde. Denn bei vielen Angriffen, zum Beispiel mit Ransomware, reicht schon eine kurze Zeitspanne, damit Angreifer ihr Ziel erreichen. Deshalb etablieren sich gerade andere, aus dem Bereich Service Management entlehnte Metriken, um die Effizienz von Abwehrmaßnahmen zu bewerten: MTTA und MTTR.

Die MTTA (mean time to acknowledge / mittlere Zeit bis zur Bestätigung) ist der durchschnittliche Zeitraum vom Auslösen einer Warnung bis mit der Bearbeitung des Problems begonnen wird. Diese Metrik hilft, die Reaktionsfähigkeit des verantwortlichen Teams und die Effektivität des Warnsystems einzuschätzen. Die Warnungen kommen dabei meistens von einem NDR- oder einem EDR-Tool. Unternehmen, die Microsoft 365 nutzen, können sie auch von Defender for Office 365, Defender for Endpoint oder Defender for Identity bzw. Azure ID Identity Protection bekommen. Aber auch Microsoft Cloud App Security hilft, unbefugte Zugriffe oder Zugriffsversuche zu erkennen und kann dann alarmieren.

MTTR (mean time to remediate / mittlere Zeit bis zur Behebung) gibt dann an, wie lange es dauert, bis ein erkanntes und bestätigtes Problem behoben wurde. Diese Abkürzung wird im Service Management leicht abgewandelt als "mean time to respond" verwendet, bezeichnet aber grundsätzlich denselben Sachverhalt.

Mehr und bessere Security-Tools sind nur ein Baustein, um in diesen Metriken gute Werte zu erreichen. Sie tragen dazu beitragen, Merkmale auch komplexer Angriffe zu erfassen, die unzureichende Tools vielleicht gar nicht sehen würden. Allerdings fällt durch sie auch eine ungeheuer große Menge an Meldungen und Alarmen an. Um sie zu verarbeiten haben viele Unternehmen ein SIEM (Security Information and Event Management) angeschafft.

Konzentration aufs Wesentliche

Allerdings sehen viele dieser Alarme verdächtig aus und müssen von den Security-Experten geprüft werden. Die verbringen so viel Zeit damit, falschen Fährten nachzuspüren. Außerdem lässt bei sich ständig wiederholenden, gleichartigen Warnungen die menschliche Aufmerksamkeit schnell nach. Beides erhöht die Chancen für die Angreifer. Es gilt also, die Zahl der Alarme auf ein Maß zu reduzieren, mit dem die Security-Experten im SOC umgehen können.

Häufige Fehlalarme führen schnell zu geringerer Sensibilität beim Umgang mit diesen Vorfällen, was wiederum zur Minderung des allgemeinen Sicherheitsniveaus führt. Durch den Einsatz von KI und das permanente Erlernen neuer Muster werden in modernen SIEM-Systemen (wie Microsoft Sentinel) die Mengen der Fehlalarme massiv reduziert und Analysten auf die wirklich wichtigen Ereignisse aufmerksam gemacht.

Ebenfalls zur Priorisierung trägt ein gutes Risk Management bei. Dazu gilt es, die möglichen Auswirkungen von Ausfällen und Angriffen abzuschätzen. Alarme, die Bereiche betreffen, in denen der Schaden potenziell groß ist, können dann anders behandelt werden, als Alarme für Bereiche mit potenziell nur sehr geringen Auswirkungen. Das lässt sich mit der Notaufnahme eines Krankenhauses vergleichen: Patienten mit einem gebrochenen Finger müssen bei großem Andrang eben länger warten, als solche mit Herzinfarkt oder akuten Vergiftungserscheinungen.

Mehr Dynamik im SOC

Die Idee des SOC ist nicht neu. Manche Unternehmen arbeiten schon seit über zehn Jahren damit. Allerdings waren die frühen Versuche in dem Bereich vor allem durch einen massiven Einsatz hochqualifizierter Spezialisten geprägt. Den können sich nicht alle Unternehmen leisten - ganz abgesehen von den Schwierigkeiten, das entsprechende Personal zu bekommen.

Neue Technologien bieten hier neue Möglichkeiten. Von der rein statischen Analyse von Protokollen in einem SIEM, geht der Trend heute zur Verwendung von spezialisierten Tools und ausgefeilten Analysetechniken. Damit bekommen die Verantwortlichen tiefe Einblicke und werden die Warnungen qualitativ hochwertiger.

Man kann dies mit einem Notruf vergleichen: Dem Notarzt fällt es wesentlich leichter, korrekt zu handeln, wenn er bereits bei der Anfahrt genau weiß, was passiert ist und nicht nur vage von einem "Unfall" ausgehen muss.

In der IT ist es dazu wichtig, möglichst viele Informationen von unterschiedlichen Quellen zusammenzuführen - auch von unterschiedlichen Anbietern. Hier leistet zum Beispiel die MISA - die Microsoft Intelligent Security Association - einen wichtigen Beitrag. Ihr gehören nicht nur zahlreiche Dienstleister, sondern auch viele der führenden IT-Security-Anbieter an. Tendenz steigend.

Sie alle haben erkannt, dass IT-Sicherheit von jedem alleine nicht mehr zu leisten ist und es im Interesse der gemeinsamen Kunden liegt, Bedrohungsdaten- und Informationen auszutauschen, Schnittstellen zu schaffen und sich in bereits vorhandene, weit verbreitete Microsoft-Security-Lösungen zu integrieren.

In diesem Whitepaper erfahren Sie, wie Sie mit Microsoft Security ein SOC aufbauen und kritische Infrastrukturen absichern.

Bedrohungen gewachsen sein