Hvad er en Managed SOC? En praktisk guide

Hvad betyder SOC (Security Operations Center)?

Et Security Operations Center (SOC) er den funktion, der har ansvar for at opdage, undersøge og håndtere sikkerhedshændelser i en organisation. Trods navnet handler en SOC ikke så meget om et fysisk lokale fyldt med skærme, men om en sikkerhedsfunktion, der bygger på tre elementer:

Data: Logs og alarmer fra jeres systemer, eksempelvis login, endpoints, firewalls, cloud-services og e-mail.
Detection-logik: Regler og modeller, der identificerer aktivitet, som kan være mistænkelig.
Mennesker og processer: Analytikere, der undersøger hændelser, og definerede workflows for, hvad der skal ske, når en potentiel trussel opdages.

De tre elementer er afhængige af hinanden. Sikkerhedsdata giver indsigt i aktiviteter på tværs af miljøet. Detection-logikken omsætter dataene til relevante alarmer, og analytikerne vurderer konteksten og afgør, om der er behov for handling.

Hvad er en Managed SOC?

En Managed SOC leverer funktionerne fra et Security Operations Center som en ekstern service. Jeres organisation tilslutter de aftalte datakilder til en udbyder, hvis analytikere overvåger og undersøger sikkerhedsaktivitet på jeres vegne. Afhængigt af aftalens omfang kan overvågningen foregå inden for bestemte åbningstider eller døgnet rundt.

Den væsentligste forskel mellem en intern og en Managed SOC er, hvem der driver funktionen – ikke hvilke opgaver den løser. Med en intern SOC ansætter I selv analytikerne, udvikler detection rules, planlægger vagter og vedligeholder værktøjerne. Med en Managed SOC overtager udbyderen dette operationelle ansvar og leverer bekræftede hændelser med klare anbefalinger.

Betegnelsen »managed« kan dække over forskellige servicemodeller:

Fully Managed SOC: Udbyderen håndterer detection og undersøgelse fra start til slut.
Co-Managed SOC: Opgaverne fordeles mellem udbyderen og jeres interne sikkerhedsteam.

Den rette model afhænger af jeres interne ressourcer, eksisterende kompetencer og ønskede niveau af kontrol. Sammenligningen Co-Managed vs. Fully Managed SOC hjælper jer med at vælge mellem modellerne.

I vil også støde på betegnelsen SOC-as-a-Service, som i vid udstrækning bruges synonymt med Managed SOC. Frem for at vælge ud fra navnet bør I sammenligne udbydernes aftalte scope, ansvar og serviceniveauer.

Hvad laver et Managed SOC-team?

En Managed SOC analyserer alarmer i flere trin. Alle alarmer får en indledende vurdering, men kun dem, der ikke kan afklares hurtigt, går videre til en mere dybdegående undersøgelse. På den måde kan analytikerne bruge deres tid og ekspertise på de sager, der faktisk kræver opmærksomhed.

Trin	Hvad sker der?	Typisk resultat
Overvågning og detection	Telemetri fra SIEM- og EDR/XDR-platforme overvåges løbende, og detection-regler genererer alarmer.	En alarm tilføjes køen.
Alert-Triage	Alarmer prioriteres ved modtagelsen. Mange udbydere bruger automation eller AI-understøttede workflows til at genkende kendte mønstre og afklare gentagne alarmer, så analytikerne kan fokusere på resten.	Rutinealarmer lukkes, og de øvrige prioriteres i køen.
Analytikerundersøgelse	En analytiker gennemgår artefakter og Indicators of Compromise (IoC’er), eksempelvis IP-adresser, brugernavne, URL’er og filhashes, samt sikkerhedsværktøjets handlinger. Derefter klarlægges hændelsesforløbet.	De fleste hændelser er ukomplicerede og lukkes inden for få minutter.
Udvidet undersøgelse	Ved uklare sager udvides undersøgelsen til aktiviteterne omkring hændelsen. Analytikeren korrelerer aktivitet før og efter og undersøger, om samme adfærd ses andre steder.	Omfanget af en reel hændelse afdækkes.
Berigelse med Threat Intelligence	Ekstern kontekst tilføjes om den involverede trusselsaktør, værktøjerne eller infrastrukturen.	Severity vurderes på baggrund af evidens.
Eskalering til kunden	Bekræftede hændelser sendes til jeres ticketsystem eller e-maildistributionsliste. Ved kritiske hændelser kontaktes I også telefonisk.	Jeres team ved, hvad der er sket, og hvad der skal gøres.
Response support	Hvis udbyderen har fået rettigheder til active response, udfører SOC’en de aftalte containment-handlinger (se eksemplet nedenfor).	Truslen er inddæmmet, inden jeres team begynder arbejdet.
Overdragelse til Incident Response	Hvis en hændelse udvikler sig til en bekræftet kompromittering, overtager et dedikeret Incident Response-team (IR) arbejdet med containment, forensics og recovery.	Et koordineret forløb for response og recovery sættes i gang.

Alle bekræftede hændelser dokumenteres med et tidslinjeforløb og konkrete anbefalinger. Dokumentationen danner grundlag for regelmæssig rapportering og løbende forbedring af detection-logikken.

Managed SOC i praksis: Eksempler på detection og response ved reelle trusler

Eksempel 1: SIEM registrerer et mistænkeligt login

Sent en aften genererer SIEM (Security Information and Event Management) en alarm om impossible travel. En medarbejder i økonomiafdelingen har logget ind fra kontorets netværk og derefter fra et andet kontinent blot 30 minutter senere.

Triage: Alarmen matcher ikke kendte harmløse mønstre, eksempelvis virksomhedens VPN eller et registreret rejsemønster. Derfor sendes den videre til en analytiker.

Undersøgelse: Analytikeren fastslår, at det andet login kom fra en hidtil ukendt enhed, og at anmodningen om multifaktorgodkendelse blev godkendt.

Udvidet undersøgelse: Analytikeren gennemgår aktiviteterne efter login. Få minutter senere blev der oprettet en ny indbakkeregel, som videresendte e-mails med ordet »invoice« til en ekstern adresse. Analytikeren undersøger også, om andre konti har logget ind fra samme IP-adresse.

Berigelse: Threat intelligence knytter IP-adressen til infrastruktur, som tidligere har været forbundet med kampagner med business email compromise.

Eskalering: Hændelsen klassificeres som kritisk, fordi den indebærer uautoriseret adgang til data. Den vagthavende kontaktperson får telefonisk besked, og hændelsen registreres i ticketsystemet sammen med anbefalinger til de næste skridt.

Response: Hvis SOC’en har fået rettigheder til active response, tilbagekaldes brugerens aktive sessioner, og adgangskoden nulstilles med det samme. Ellers indgår disse handlinger som de første anbefalinger til kundens team.

Det interne team fortsætter derefter med den nødvendige remediation:

Afklare hændelsesforløbet med medarbejderen.
Fjerne videresendelsesreglen.
Undersøge, om data er blevet sendt ud af postkassen.
Beslutte, om der er behov for yderligere tiltag, eksempelvis at advare leverandører eller kunder, som kan modtage falske fakturaer.

Eksempel 2: Active response på en kompromitteret medarbejderenhed

I en standardopsætning opdager SOC’en truslen og anbefaler tiltag, mens jeres team udfører dem. Tiden mellem varsling og handling er ofte det svageste led – særligt om natten, i weekender og på helligdage. Active response mindsker dette tidsrum ved at give SOC-analytikerne mulighed for selv at udføre på forhånd aftalte containment-handlinger. Det sker typisk via API-adgang til jeres EDR/XDR, SIEM- eller identity-platform.

Kl. 03.10 en lørdag registrerer EDR/XDR-platformen mistænkelig aktivitet på en sælgermedarbejders bærbare computer. En fil, som medarbejderen har downloadet som en »browseropdatering«, læser gemte adgangskoder fra browseren og opretter forbindelse til et ukendt eksternt domæne.

Triage: Adfærden svarer i høj grad til kendte teknikker, som infostealer-malware bruger til at stjæle credentials og sessionsdata. Alarmen får derfor straks høj severity og tildeles en analytiker.

Undersøgelse: Analytikeren bekræfter, at filen er skadelig og ikke en legitim softwareopdatering. Evidensen viser, at filen har tilgået browserens lager af loginoplysninger og overført data til det eksterne domæne.

Berigelse: Threat Intelligence identificerer domænet som command-and-control-infrastruktur knyttet til en kendt infostealer-familie. Det underbygger mistanken om tyveri af loginoplysninger.

Udvidet undersøgelse: Analytikeren søger efter samme filhash og domæne på tværs af miljøet. En anden bærbar computer viser sig at have downloadet den samme fil, men malwaren blev ikke kørt på denne enhed.

Containment: Organisationen har godkendt følgende handlinger på forhånd, så SOC’en kan reagere med det samme:

Isolerer den inficerede bærbare computer fra netværket.
Stopper den skadelige proces.
Blokerer filhashen og domænet på tværs af miljøet.
Tilbagekalder medarbejderens aktive sessioner og nulstiller adgangskoden.

Eskalering: Hændelsen klassificeres som kritisk. Den vagthavende kontaktperson ringes op, og sagen registreres i ticketsystemet med de handlinger, der allerede er udført, og anbefalinger til de næste skridt.

Da det interne team begynder arbejdet lørdag morgen, er den umiddelbare trussel allerede inddæmmet. Teamet kan derfor koncentrere sig om remediation og recovery, blandt andet:

Geninstallere og genetablere den kompromitterede bærbare computer.
Undersøge, hvilke loginoplysninger der var gemt i browseren, og ændre dem – også credentials til SaaS- og tredjepartsplatforme.
Fjerne den fil, som ikke blev kørt, fra den anden bærbare computer.
Vurdere behovet for yderligere tiltag, eksempelvis at advare andre medarbejdere om den falske browseropdatering.

Uden active response ville detection- og eskaleringsprocessen have været den samme. Forskellen er, at den kompromitterede computer fortsat ville være tilsluttet netværket, og de stjålne credentials ville forblive gyldige, indtil nogen kunne reagere. Kl. 03.10 en lørdag kunne den forsinkelse nemt vare flere timer.

Tre forudsætninger for, at active response fungerer:

Rettigheder: Organisationen definerer, hvilke adgangsrettigheder og credentials udbyderen får. Handlingerne kan kun udføres, hvis de tilsluttede sikkerhedsplatforme teknisk understøtter dem.
Forudgående aftaler: Aftalerne fastlægger, hvilke handlinger SOC’en må udføre straks, hvilke der kræver kundens godkendelse, og hvem der skal informeres, når handlingerne er udført.
Klare grænser: Active response skal inddæmme truslen – ikke gennemføre hele recovery-processen. Servicen genopbygger ikke systemer, gendanner ikke data, installerer ikke patches og træffer ikke forretningsmæssige beslutninger om den videre indsats. Det er fortsat jeres ansvar. Hændelser, der kræver mere end containment, overdrages til Incident Response.

Hvem gør hvad?

Udbyderen: Opdager, undersøger og prioriterer trusler, varsler kunden og anbefaler tiltag. Med active response udfører udbyderen desuden de aftalte containment-handlinger.

Jer: Holder datakilder tilsluttet og kontaktoplysninger opdaterede, bidrager med forretningskontekst, udfører fuld remediation og recovery, administrerer de rettigheder, I giver, og træffer risikobeslutningerne.

Tydelig ansvarsfordeling og veldefinerede eskaleringsprocesser er afgørende for, at hændelser hurtigt kan gå fra detection til afklaring. Det er især vigtigt, når flere teams er involveret, og sager skal overdrages mellem den operationelle overvågning, remediation og recovery som led i de samlede processer for eskalering af hændelser i Managed SOC Services.

Hvilke teknologier bruger en Managed SOC?

Værdien af en Managed SOC afhænger ikke af ét bestemt produkt. Det afgørende er, hvor effektivt værktøjerne er integreret, konfigureret og tunet. Det er dog nyttigt at kende de enkelte teknologiers roller, når I skal vurdere en Managed SOC-services omfang.

Teknologi	Hvad gør den?	Hvorfor har en SOC brug for den?
SIEM (Security Information and Event Management)	Indsamler og korrelerer logs fra hele organisationens miljø.	Sammenkæder hændelser, der isoleret set kan se harmløse ud.
EDR (Endpoint Detection and Response)	Overvåger aktivitet på bærbare computere og servere og understøtter eksempelvis isolering af berørte enheder.	De fleste angreb berører på et tidspunkt et endpoint.
XDR (Extended Detection and Response)	Udvider EDR-lignende detection på tværs af endpoints, identity, e-mail og cloud.	Giver et sammenhængende overblik på tværs af flere angrebsflader.
SOAR (Security Orchestration, Automation and Response)	Automatiserer gentagne trin og fordeler hændelser til de rette workflows.	Gør triage hurtigere og understøtter ensartet alarmhåndtering.
Cloud-sikkerhedsværktøjer	Overvåger cloud-platforme og SaaS-applikationer som Microsoft 365, Azure og AWS.	En stigende del af de forretningskritiske aktiviteter foregår uden for det traditionelle virksomhedsnetværk.
Threat Intelligence-platforme	Tilfører kontekst om kendte angribere, værktøjer og skadelig infrastruktur.	Hjælper analytikerne med at vurdere en alarms relevans og severity.
Log management	Opbevarer og bevarer sikkerhedsdata.	Understøtter undersøgelser, rapportering og evidens til audit.
Sårbarhedsscannere	Identificerer kendte sårbarheder, forældet software og potentielt usikre konfigurationer i systemer og infrastruktur.	Giver overblik over svagheder, som kan udnyttes, og kontekst til prioritering af sikkerhedsrisici.

Udbyderne adskiller sig i forhold til, hvilke platforme de understøtter, og hvor fleksible deres løsninger er. Nogle standardiserer deres services omkring få teknologier, mens andre kan integrere organisationens eksisterende SIEM, EDR- eller XDR-platforme. Før I indgår en aftale, bør I stille tre spørgsmål:

Hvilke af jeres nuværende værktøjer understøttes?
Hvordan bliver jeres datakilder integreret?
Kan I fortsat benytte jeres eksisterende sikkerhedsinvesteringer?

De datakilder, I tilslutter, afgør, hvad en Managed SOC rent faktisk kan se og opdage. Valget af de rette logs og datakilder er derfor en afgørende del af planlægningen.

Hvilke problemer løser en Managed SOC?

Organisationer overvejer ofte en Managed SOC, når deres interne teams ikke længere kan opretholde tilstrækkelig synlighed i sikkerhedsmiljøet eller reagere konsekvent på hændelser på tværs af hele miljøet.

Ingen dækning uden for arbejdstiden: Angribere udnytter gerne nætter, weekender og helligdage. Intern dækning i disse perioder kræver flere personer til hver analytikerfunktion – ikke blot én ekstra ansættelse.
For mange alarmer: Sikkerhedsværktøjer genererer langt flere alarmer, end et lille team kan undersøge. Reelle trusler risikerer derfor at drukne i støjen. En SOC lukker false positives eller tuner dem væk i stedet for at sende dem videre.
Mangel på specialister: Detection Engineering og undersøgelse af sikkerhedshændelser kræver specialiserede kompetencer, som det kan være svært at rekruttere og fastholde.
Manglende synlighed: Cloud, SaaS, remote endpoints og identity-systemer giver hver deres del af billedet. En SOC korrelerer data på tværs.
Langsom response: Tiden til detection og response har betydning for, hvor stor skade en hændelse når at forårsage. Definerede processer for triage og eskalering forkorter begge dele.

Hvilke organisationer har behov for en Managed SOC?

En Managed SOC kan understøtte organisationer af forskellig størrelse og med forskelligt sikkerhedsmæssigt modenhedsniveau. Servicen er særligt relevant for:

Mellemstore virksomheder, som har behov for moden sikkerhedsovervågning, men ikke kan forsvare udgifterne og bemandingen til en fuld intern SOC.
Store virksomheder, som vil udvide dækningen uden for almindelig arbejdstid, tilføje kapacitet til undersøgelser eller etablere kontinuerlig overvågning af bestemte miljøer.
Regulerede organisationer, som skal kunne dokumentere struktureret overvågning og hændelseshåndtering, eksempelvis i forbindelse med NIS2 oder ISO 27001.
Organisationer med omfattende cloud- eller hybridmiljøer, hvor attack surface er vokset hurtigere end den interne synlighed.
Organisationer uden et dedikeret sikkerhedsteam, som alligevel har behov for struktureret overvågning og adgang til sikkerhedsekspertise.

Hvad er forskellen mellem en Managed SOC og en intern SOC?

Både interne SOC’er og Managed SOC’er arbejder på at opdage og undersøge sikkerhedstrusler og koordinere response. De vigtigste forskelle handler om bemanding, operationelt ansvar, implementering og hvor meget direkte kontrol organisationen bevarer.

Managed SOC vs intern SOC

	Intern SOC	Managed SOC
Tid til drift	Typisk flere måneder på grund af rekruttering, værktøjer og opbygning af detection-kapacitet.	Typisk få uger afhængigt af antallet af datakilder, og hvor hurtigt adgang gives.
Bemanding	Organisationen rekrutterer, uddanner, fastholder og vagtplanlægger selv analytikerne.	Analytikerne stilles til rådighed som en del af servicen.
24/7-dækning	Kræver flere medarbejdere pr. vagt samt dækning ved ferie og sygdom.	Tilgængelig, hvis den er inkluderet i den aftalte service.
Ekspertise inden for detection	Begrænset til erfaringen i jeres eget team.	Trækker på analytikere, der undersøger hændelser på tværs af mange miljøer.
Kontrol og tilpasning	Fuld kontrol over processer og prioriteter.	Høj grad af kontrol, men inden for kontrakten og de aftalte playbooks.
Intern viden	Sikkerhedsviden og operationel kontekst forbliver fuldt ud internt.	Viden deles mellem udbyder og kunde gennem rapportering, reviews og løbende samarbejde.
Omkostningsprofil	Lønninger, værktøjer, uddannelse og medarbejderudskiftning – ofte undervurderet.	Forudsigelig løbende betaling, som afhænger af scopet.
Remediation og risikobeslutninger	Forbliver organisationens ansvar.	Forbliver også organisationens ansvar. Med active response kan SOC’en udføre på forhånd aftalte containment-handlinger på organisationens vegne.

Den sidste række i tabellen er den, der oftest misforstås. En Managed SOC mindsker behovet for selv at opbygge og drive en intern overvågningsfunktion, men den fjerner ikke organisationens ansvar for remediation, governance eller risikoejerskab. En co-managed model ligger mellem de to tilgange og gør det muligt at fordele ansvaret efter organisationens eksisterende ressourcer, ekspertise og prioriteter.

Vigtigste pointer

En Managed SOC leverer sikkerhedsovervågning, alarm-triage, undersøgelse, eskalering og rapportering som en managed service.
Alarmer analyseres trinvist, så rutinesager kan afklares effektivt, og analytikerne kan fokusere på reelle trusler.
En Managed SOC hjælper organisationer med at håndtere sikkerhedsrisici, men kan ikke fjerne dem.
Effektiv overvågning kræver relevante datakilder, tydelig ansvarsfordeling og en intern kontaktperson, der kan reagere på eskaleringer.
Managed SOC Services er særligt relevante for organisationer uden intern døgnbemanding, med store alarmmængder eller med behov for at dokumentere struktureret detection og håndtering af sikkerhedshændelser.
Det fulde ansvar for remediation, governance og risici bliver hos kunden.
Hvis active response er inkluderet, kan SOC’en udføre de aftalte containment-handlinger inden for de rettigheder, kunden har givet.

Managed SOC Services fra SITS Cyber Defense Center

SITS leverer Managed SOC Services gennem SITS Cyber Defense Center, en europæisk sikkerhedsoperation med SOC-analytikere i Tyskland og Danmark. Servicen kombinerer strukturerede undersøgelsesprocesser, fleksibel teknologiintegration og mulighed for active response.

AI-understøttet triage og analytikerbaseret undersøgelse

Før en alarm når frem til en analytiker, vurderer SITS’ egne AI-modeller dens forventede severity. Alarmen sammenholdes med tidligere undersøgte hændelser, så sager, der i høj grad ligner allerede afklarede tilfælde, kan nedprioriteres eller lukkes. Alle øvrige alarmer gennemgår strukturerede analyseniveauer:

En hurtig indledende vurdering af hændelsesdata.
En bredere undersøgelse af relateret aktivitet før og efter hændelsen.
En dybdegående analyse med Threat Intelligence og om nødvendigt threat hunting.

Hvis en hændelse kræver mere, end SOC’en kan håndtere, overdrages den til SITS Incident Response-team. Den indledende triage og indsamling af evidens er allerede gennemført.

Jeres eksisterende værktøjer – eller vores

Servicen leveres primært med IBM QRadar, Elastic Security og Microsoft Sentinel samt Elastic Defend og Microsoft Defender til EDR/XDR. Det er de platforme, som Cyber Defense Center har særlig stor erfaring med, men det er ikke et krav at bruge dem. Hvis jeres organisation allerede benytter en anden SIEM-, EDR- eller XDR-løsning, kan den integreres, så eksisterende sikkerhedsinvesteringer fortsat kan anvendes. Den konkrete tekniske opsætning varierer fra platform til platform. Uanset datakilden behandles hændelser gennem SITS’ egen SOAR-platform, IntellAgent, med de samme standardiserede processer. Under afklaringen af servicens scope bekræftes det, hvilke konkrete værktøjer der er kompatible.

Active Responder

AActive Responder er SITS’ tilkøbsservice til active response for pakker, der omfatter detection og response. Afhængigt af de aftalte rettigheder og de tilsluttede platformes tekniske muligheder kan analytikerne:

Isolere endpoints.
Tilbagekalde sessioner.
Nulstille adgangskoder.
Suspendere konti.
Blokere Indicators of Compromise (IoC’er).
Blokere skadelige processer.

For at gøre disse handlinger mulige stiller kunden API-nøgler eller service-credentials til rådighed for de relevante sikkerhedsplatforme, eksempelvis Microsoft Defender, Microsoft Sentinel eller Cortex XDR. Rettighederne begrænses til de handlinger, der er aftalt som en del af servicen. Kunden er fortsat ansvarlig for at tildele og vedligeholde adgangsrettighederne.

Hurtig onboarding

Med foruddefinerede Use Cases tager den tekniske implementering i gennemsnit fire til seks dage. Fuld operationel drift er typisk etableret efter cirka to til tre uger. Komplekse miljøer med flere datakilder kan kræve længere tid.

Kundecase: Sunweb Group

Sunweb Group er en europæisk rejsearrangør med omkring 500 medarbejdere og aktiviteter i syv lande. Virksomhedens lille interne sikkerhedsteam var presset af den daglige håndtering af phishing og triage af alarmer. SITS overtog den operationelle sikkerhedsovervågning, mens de to teams i fællesskab udviklede de nødvendige playbooks. Samtidig kunne Sunweb udnytte sine eksisterende Microsoft E5-licenser bedre. Antallet af false positives faldt markant, og Sunwebs team bruger nu tiden på assessments, nye capabilities og forbedringer.

“SITS tager sig af den operationelle sikkerhed, herunder triage af hændelser og indberettede phishing-mails. Det giver os i Sunwebs interne sikkerhedsteam mulighed for at fokusere på strategiske initiativer, eksempelvis at udrulle nye capabilities, gennemføre assessments og rent faktisk løse problemer.”

- Cristian Posariu, Head of Information Security, Sunweb

Læs Sunwebs kundehistorie

Kan jeres sikkerhedsovervågning følge med?

Få indblik i, hvordan en Managed SOC kan styrke sikkerhedsovervågningen på tværs af jeres miljø, lukke huller i dækningen og understøtte jeres interne team.

Få en gratis konsultation