Was bedeutet SOC (Security Operations Center)?
Ein Security Operations Center ist die Funktion innerhalb einer Organisation, die für die Erkennung, Untersuchung und Bearbeitung von Sicherheitsvorfällen verantwortlich ist. Entgegen der häufigen Vorstellung handelt es sich dabei weniger um einen Raum voller Bildschirme als um eine Sicherheitsfunktion, die aus drei zentralen Bausteinen besteht:
- Daten: Protokolle und Warnmeldungen aus Systemen wie Identitätsdiensten, Endgeräten, Firewalls, Cloud-Anwendungen oder E-Mail-Lösungen.
- Erkennungslogik: Regeln und Modelle, die potenziell verdächtige Aktivitäten identifizieren.
- Menschen und Prozesse: Analysten, die Ereignisse untersuchen, plus definierte Abläufe für den Umgang mit möglichen Sicherheitsvorfällen.
Jede Komponente ist von der anderen abhängig: Sicherheitsdaten bieten Einblick in die Aktivitäten der gesamten Umgebung. Die Erkennungslogik wandelt diese Daten in aussagekräftige Warnmeldungen um, woraufhin Analysten den Kontext bewerten und entscheiden, ob Maßnahmen erforderlich sind.
Was ist ein Managed SOC?
Ein Managed SOC stellt die Funktionen eines Security Operations Center als externen Service bereit. Ihr Unternehmen verbindet vereinbarte Datenquellen mit einem Dienstleister, dessen Analysten in Ihrem Auftrag Sicherheitsaktivitäten überwachen und untersuchen. Je nach Vertrag erfolgt diese Überwachung entweder während festgelegter Geschäftszeiten oder rund um die Uhr.
Der wesentliche Unterschied zwischen einem internen und einem Managed SOC liegt darin, wer den Betrieb übernimmt, nicht darin, was getan wird. Bei einem internen SOC beschäftigen Sie die Analysten selbst, entwickeln Erkennungsmechanismen, organisieren Schichtpläne und betreiben die erforderlichen Technologien. Bei einem Managed SOC übernimmt der Dienstleister diese operativen Aufgaben und liefert bestätigte Vorfälle inklusive konkreter Handlungsempfehlungen.
“Managed” kann unterschiedliche Betriebsmodelle beschreiben:
- Fully Managed SOC: Der Dienstleister übernimmt Erkennung und Analyse vollständig.
- Co-Managed SOC: Die Aufgaben werden zwischen Dienstleister und internem Security-Team aufgeteilt.
Welches Modell am besten passt, hängt von den vorhandenen Ressourcen, bestehenden Fähigkeiten und dem gewünschten Maß an Kontrolle ab.
Sie werden außerdem häufig auf den Begriff SOC-as-a-Service stoßen. In der Praxis wird dieser meist synonym zu Managed SOC verwendet. Wichtiger als die Bezeichnung sind jedoch Leistungsumfang, Verantwortlichkeiten und die konkret vereinbarten Service Levels.
Welche Aufgaben übernimmt ein Managed SOC-Team?
| Schritt | Was passiert? | Typisches Ergebnis |
|---|---|---|
| Überwachung und Erkennung | Telemetriedaten aus SIEM-& EDR/XDR-Plattformen werden kontinuierlich überwacht. Detection-Regeln erzeugen Warnmeldungen. | Eine Warnmeldung landet in der Warteschlange. |
| Alert-Triage | Warnmeldungen werden priorisiert. Anbieter nutzen Automatisierung / KI-gestützte Prozesse, um bekannte Muster zu erkennen & wiederkehrende Meldungen automatisch auszuschließen. | Routinemeldungen werden geschlossen, relevante Ereignisse priorisiert. |
| Analysten-Untersuchung | Sicherheitsanalysten prüfen Artefakte & Indikatoren für eine Kompromittierung (IoCs), etwa IP-Adressen, Benutzernamen, URLs oder Datei-Hashes & rekonstruieren den Ablauf. | Die meisten Vorfälle können innerhalb kurzer Zeit bewertet werden. |
| Erweiterte Untersuchung | Bei unklaren Fällen wird das Ereignis in einen größeren Zusammenhang eingeordnet & mit weiteren Aktivitäten korreliert. | Das tatsächliche Ausmaß des Vorfalls wird sichtbar. |
| Anreicherung mit Threat Intelligence | Zusätzliche Informationen zu Angreifern, Infrastruktur oder eingesetzten Werkzeugen werden ergänzt. | Die Kritikalität kann fundiert bewertet werden. |
| Eskalation an den Kunden | Bestätigte Vorfälle werden über Ticket-Systeme oder E-Mail-Verteiler gemeldet. Kritische Vorfälle werden zusätzlich telefonisch eskaliert. | Das interne Team weiß, was passiert ist & welche Schritte erforderlich sind. |
| Unterstützung bei der Reaktion | Verfügt das SOC über aktive Reaktionsrechte, kann es vereinbarte Eindämmungsmaßnahmen selbst durchführen. | Die Bedrohung wird eingedämmt, noch bevor das interne Team aktiv wird. |
| Übergabe an Incident Response | Entwickelt sich ein Vorfall zu einer bestätigten Kompromittierung, übernimmt ein Incident-Response-Team Forensik, Eindämmung & Wiederherstellung. | Ein strukturierter Wiederherstellungsprozess beginnt. |
Jeder bestätigte Sicherheitsvorfall wird mit einer Zeitleiste und konkreten Handlungsempfehlungen dokumentiert. Diese Informationen bilden die Grundlage für Reporting und die kontinuierliche Verbesserung von Erkennungsregeln.
Anwendungsfälle für Managed SOCs: Echte Szenarien zur Bedrohungserkennung und -reaktion
Beispiel 1: Verdächtige Anmeldeversuche, erkannt durch das SIEM
Spät am Abend löst das SIEM (Security Information und Event Management) eine Warnmeldung wegen einem „Impossible Travel Alert“ aus. Ein Mitarbeiter aus der Finanzabteilung hat sich zunächst aus dem Unternehmensnetzwerk angemeldet und nur 30 Minuten später scheinbar von einem anderen Kontinent aus.
Triage: Die Meldung entspricht keinem bekannten legitimen Muster, etwa einer VPN-Nutzung oder einer bekannten Reisetätigkeit. Der Vorfall wird daher an einen Analysten weitergeleitet.
Untersuchung: Der Analyst stellt fest, dass die zweite Anmeldung von einem bislang unbekannten Gerät erfolgte und die Multi-Faktor-Authentifizierung bestätigt wurde.
Erweiterte Analyse: Anschließend untersucht der Analyst die Aktivitäten nach der Anmeldung. Wenige Minuten später wurde eine neue Posteingangsregel erstellt, die E-Mails mit dem Begriff „Rechnung“ automatisch an eine externe Adresse weiterleitet. Zusätzlich wird geprüft, ob weitere Konten dieselbe IP-Adresse verwendet haben.
Anreichern: Threat intelligence ordnet die IP-Adresse einer Infrastruktur zu, die zuvor mit „Business-E-Mail Compromise“-Kampagnen in Verbindung gebracht wurde.
Eskalation: Da ein unbefugter Zugriff auf Unternehmensdaten vorliegt, wird der Vorfall als kritisch eingestuft. Der Bereitschaftskontakt wird telefonisch informiert und ein Ticket mit den empfohlenen Maßnahmen erstellt.
Reaktion: Verfügt das SOC über aktive Reaktionsrechte, werden Benutzersitzungen sofort beendet und das Passwort zurückgesetzt. Andernfalls erhält das interne Team diese Maßnahmen als erste Handlungsempfehlungen.
Das interne Team übernimmt anschließend die weitere Bearbeitung:
- Rücksprache mit dem betroffenen Mitarbeiter
- Entfernen der Weiterleitungsregel
- Prüfung möglicher Datenabflüsse
- Entscheidung über weitere Maßnahmen, wie die Warnung von Kunden oder Lieferanten vor möglichen Betrugsversuchen
Beispiel 2: Active Response bei einem kompromittierten Endgerät
In einem Standard-Setup erkennt und empfiehlt das SOC Maßnahmen, die von Ihrem Team umgesetzt werden. Die Zeit zwischen Benachrichtigung und Maßnahme ist oft die größte Schwachstelle, insbesondere nachts, an Wochenenden oder an Feiertagen. Durch Active Response wird diese Lücke geschlossen, indem SOC-Analysten vordefinierte Eindämmungsmaßnahmen selbst durchführen können. Dies erfolgt in der Regel über einen API-Zugriff auf Ihre EDR/XDR, SIEM- oder Identitätsplattform.
Um 03:10 Uhr an einem Samstag erkennt die EDR/XDR-Plattform verdächtiges Verhalten auf dem Laptop eines Vertriebsmitarbeiters. Eine angebliche Browser-Aktualisierung liest gespeicherte Passwörter aus und kommuniziert mit einer unbekannten externen Domain.
Triage: Das Verhalten entspricht bekannten Techniken von Infostealer-Malware, die auf den Diebstahl von Zugangsdaten und Sitzungsinformationen spezialisiert ist. Der Vorfall wird sofort priorisiert.
Untersuchung: Der Analyst bestätigt, dass es sich nicht um ein legitimes Update handelt. Die Datei hat auf gespeicherte Zugangsdaten zugegriffen und Daten an die externe Domain übertragen.
Anreichern: Laut Threat Intelligence handelt es sich bei der Domain um eine Command-and-Control-Infrastruktur, die mit einer bekannten Familie von Infostealern in Verbindung steht, was die Wahrscheinlichkeit eines Diebstahls von Anmeldedaten bestätigt.
Erweiterte Analyse: Die Untersuchung wird auf weitere Systeme ausgeweitet. Dabei wird ein zweiter Laptop entdeckt, auf den dieselbe Datei heruntergeladen wurde. Die Malware wurde dort allerdings nicht ausgeführt.
Eindämmung: Da diese Maßnahmen vorab vereinbart wurden, handelt das SOC sofort:
- Isolierung des infizierten Laptops vom Netzwerk
- Stoppen des schädlichen Prozesses
- Blockieren des Datei-Hashs und der Domain in der gesamten Umgebung
- Entzug der aktiven Sitzungen des Mitarbeiters und Zurücksetzen des Passworts
Eskalation: er Vorfall wird als kritisch eingestuft. Der Bereitschaftskontakt wird telefonisch informiert und der Vorfall wird im Ticket-System mit den bereits durchgeführten Maßnahmen sowie den empfohlenen nächsten Schritten dokumentiert.
Bis das interne Team am Samstagmorgen seine Arbeit aufnimmt, wurde die unmittelbare Bedrohung bereits eingedämmt. Das Team kann sich daher auf Maßnahmen zur Behebung und Wiederherstellung konzentrieren, darunter:
- Neuaufsetzen des kompromittierten Laptops
- Ermitteln, welche Zugangsdaten im Browser gespeichert waren, und deren Änderung, einschließlich Zugangsdaten für SaaS- und Drittanbieter-Plattformen
- Entfernen der nicht ausgeführten Datei vom zweiten Laptop
- Entscheidung über weitere Maßnahmen, beispielsweise die Warnung anderer Mitarbeitender vor dem gefälschten Browser-Update
Ohne Active Response würden Erkennung und Eskalation identisch verlaufen. Der Unterschied besteht darin, dass der kompromittierte Laptop weiterhin mit dem Netzwerk verbunden geblieben wäre und die gestohlenen Zugangsdaten bis zum Eingreifen einer verantwortlichen Person gültig geblieben wären. Um 03:10 Uhr an einem Samstag kann diese Verzögerung problemlos mehrere Stunden dauern.
Was Active Response möglich macht:
- Berechtigungen: Organisationen legen fest, welche Zugriffsrechte und Zugangsdaten dem Dienstleister zur Verfügung gestellt werden. Aktionen können nur dort durchgeführt werden, wo die angebundenen Sicherheitsplattformen diese technisch unterstützen.
- Vorab getroffene Vereinbarungen: Sie definieren, welche Maßnahmen das SOC sofort durchführen darf, welche eine Freigabe des Kunden erfordern und wer nach der Durchführung informiert werden muss.
- Klare Grenzen: Active Response dient dazu, eine Bedrohung einzudämmen, nicht den gesamten Wiederherstellungsprozess abzuschließen. Systeme werden nicht neu aufgebaut, Daten nicht wiederhergestellt, keine Patches eingespielt und keine geschäftlichen Entscheidungen zur weiteren Reaktion getroffen. Diese Aufgaben bleiben bei Ihrem Team. Vorfälle, die mehr als eine Eindämmung erfordern, werden an Incident Response übergeben.
Wer macht was?
Der Dienstleister: erkennt, untersucht, priorisiert, benachrichtigt und gibt Empfehlungen. Mit Active Response führt er zusätzlich vereinbarte Eindämmungsmaßnahmen durch.
Sie: halten Datenquellen verbunden und Kontaktdaten aktuell, liefern geschäftlichen Kontext, führen die vollständige Behebung und Wiederherstellung durch, verwalten erteilte Berechtigungen und tragen die Verantwortung für Risikobewertungen und Entscheidungen.
Klar definierte Verantwortlichkeiten und Eskalationsprozesse sind entscheidend, damit Vorfälle schnell von der Erkennung bis zur Behebung gelangen. Das wird besonders wichtig, wenn mehrere Teams beteiligt sind und Vorfälle zwischen operativem Monitoring, Behebung und Wiederherstellung im Rahmen umfassender Eskalationsprozesse für Managed SOC Services übergeben werden müssen.
Welche Technologien verwendet ein Managed SOC?
Der Wert eines Managed SOC hängt nicht von einem einzelnen Tool ab. Entscheidend ist, wie effektiv die eingesetzten Werkzeuge miteinander verbunden, konfiguriert und optimiert sind. Dennoch hilft das Verständnis der einzelnen Technologien dabei, den Leistungsumfang eines Managed Service besser zu bewerten.
| Technologie | Aufgabe | Warum ein SOC sie benötigt |
|---|---|---|
| SIEM (Security Information and Event Management) | Sammelt und korreliert Protokolldaten aus der gesamten IT-Umgebung. | Verknüpft Ereignisse, die einzeln betrachtet harmlos erscheinen. |
| EDR (Endpoint Detection and Response) | Überwacht Aktivitäten auf Endgeräten und Servern und kann Maßnahmen wie die Isolation betroffener Geräte unterstützen. | Die meisten Angriffe betreffen irgendwann ein Endgerät. |
| XDR (Extended Detection and Response) | Erweitert die EDR-Erkennung auf Endgeräte, Identitäten, E-Mail und Cloud-Umgebungen. | Bietet einen zusammenhängenden Überblick über mehrere Angriffsflächen. |
| SOAR (Security Orchestration, Automation and Response) | Automatisiert wiederkehrende Prozesse und steuert die Bearbeitung von Vorfällen. | Beschleunigt die Triage und sorgt für eine konsistente Behandlung von Warnmeldungen. |
| Cloud-Security-Tools | Überwachen Cloud-Plattformen und SaaS-Anwendungen wie Microsoft 365, Azure oder AWS. | Kritische Geschäftsprozesse finden zunehmend außerhalb klassischer Unternehmensnetzwerke statt. |
| Threat-Intelligence-Plattformen | Stellen Informationen über bekannte Angreifer, Werkzeuge und schädliche Infrastruktur bereit. | Helfen Analysten dabei, Relevanz und Schweregrad eines Alarms einzuschätzen. |
| Log-Management | Speichert und archiviert sicherheitsrelevante Daten. | Unterstützt Untersuchungen, Reporting und Nachweisführung bei Audits. |
| Vulnerability Scanner | Identifizieren bekannte Schwachstellen, veraltete Software und potenziell unsichere Konfigurationen. | Helfen Organisationen, Schwachstellen zu verstehen, die ausgenutzt werden könnten, und Sicherheitsrisiken zu priorisieren. |
Anbieter unterscheiden sich hinsichtlich der von ihnen unterstützten Plattformen und des Grades an Flexibilität, den sie bieten. Einige standardisieren ihre Services rund um eine begrenzte Anzahl von Technologien, während andere die bereits eingesetzten SIEM, EDR oder XDR-Plattformen einer Organisation integrieren können. Bevor Sie sich für einen Anbieter entscheiden, sollten Sie drei Fragen stellen:
- Welche Ihrer bestehenden Sicherheitslösungen werden unterstützt?
- Wie werden Ihre Datenquellen integriert?
- Können bestehende Sicherheitsinvestitionen weiterhin genutzt werden?
Welche Datenquellen angebunden werden, entscheidet letztlich darüber, was ein Managed SOC tatsächlich sehen und erkennen kann. Deshalb sind die richtigen Logs und Datenquellen ein wichtiger Teil der Planung.
Welche Probleme löst ein Managed SOC?
Organisationen ziehen ein Managed SOC oft dann in Betracht, wenn ihre internen Teams keine ausreichende Sicherheitstransparenz aufrechterhalten oder nicht über die gesamte Umgebung hinweg konsistent auf Vorfälle reagieren können.
- Keine Abdeckung außerhalb der Geschäftszeiten: Angreifer bevorzugen Nächte, Wochenenden und Feiertage. Diese Zeiten intern abzudecken erfordert mehrere Personen pro Analystenrolle und nicht nur eine zusätzliche Einstellung.
- Alert-Flut: Sicherheitswerkzeuge erzeugen weit mehr Warnmeldungen, als ein kleines Team untersuchen kann. Dadurch gehen echte Bedrohungen leicht im Rauschen unter. Ein SOC schließt oder optimiert False Positives, anstatt sie einfach weiterzuleiten.
- Fachkräftemangel: Detection Engineering und Incident Investigation sind hochspezialisierte Fähigkeiten, die nur schwer zu finden und zu halten sind.
- Transparenzlücken: Cloud-Dienste, SaaS-Anwendungen, Remote-Endgeräte und Identitätssysteme liefern jeweils nur einen Teil des Gesamtbildes. Ein SOC fasst diese Informationen zusammen.
- Langsame Reaktion: Die Zeit bis zur Erkennung und die Zeit bis zur Reaktion entscheiden maßgeblich darüber, wie groß der Schaden eines Sicherheitsvorfalls ausfällt. Definierte Triage- und Eskalationsprozesse verkürzen beides.
Welche Organisationen benötigen ein Managed SOC?
Ein Managed SOC kann Organisationen unterschiedlicher Größe und Reifegrade unterstützen. Besonders relevant ist es für:
- Mittelständische Unternehmen, die professionelles Security Monitoring benötigen, aber die Kosten und den Personalaufwand für ein vollständig internes SOC nicht rechtfertigen können.
- Großunternehmen, die ihre Überwachung außerhalb der regulären Arbeitszeiten ausweiten, zusätzliche Analysekapazitäten aufbauen oder bestimmte Umgebungen kontinuierlich überwachen möchten.
- Regulierte Organisationen, die strukturierte Überwachungs- und Incident-Handling-Prozesse nachweisen müssen, beispielsweise im Zusammenhang mit NIS2 oder ISO 27001.
- Cloud-lastige oder hybride Organisationen, deren Angriffsfläche schneller gewachsen ist als ihre interne Transparenz über die Umgebung.
- Organisationen ohne dediziertes Security-Team, die dennoch strukturiertes Monitoring und Zugriff auf Security-Expertise benötigen.
Was ist der Unterschied zwischen einem Managed SOC und einem internen SOC?
Sowohl interne als auch Managed SOCs verfolgen das Ziel, Sicherheitsbedrohungen zu erkennen, zu untersuchen und die Reaktion darauf zu koordinieren. Die wesentlichen Unterschiede liegen in den Bereichen Personal, operative Verantwortung, Einführungsaufwand und dem Maß an direkter Kontrolle innerhalb der Organisation.
Managed SOC vs Internes SOC
| Internes SOC | Managed SOC | |
|---|---|---|
| Zeit bis zum operativen Betrieb | In der Regel mehrere Monate durch Recruiting, Tool-Einführung und Aufbau von Detection-Fähigkeiten | Typischerweise wenige Wochen, abhängig von Anzahl der Datenquellen und Geschwindigkeit der Bereitstellung von Zugängen |
| Personal | Die Organisation rekrutiert, schult, bindet und plant ihre Analysten selbst | Analysten werden als Teil des Services bereitgestellt |
| 24/7-Abdeckung | Erfordert mehrere Mitarbeiter pro Schicht sowie Vertretungen für Urlaub und Krankheit | Verfügbar, wenn Bestandteil des gebuchten Services |
| Detection-Know-how | Beschränkt auf die Erfahrung des eigenen Teams | Basierend auf Analysten, die Vorfälle in vielen unterschiedlichen Umgebungen untersuchen |
| Kontrolle und Anpassbarkeit | Vollständige Kontrolle über Prozesse und Prioritäten | Hoch, jedoch geprägt durch Vertrag und vereinbarte Playbooks |
| Internes Wissen | Sicherheitswissen und operativer Kontext verbleiben vollständig im Unternehmen | Wissen wird über Reports, Reviews und regelmäßige Zusammenarbeit zwischen Kunde und Dienstleister geteilt |
| Kostenstruktur | Gehälter, Technologien, Schulungen und Fluktuation, häufig unterschätzt | Planbare, wiederkehrende Kosten abhängig vom Leistungsumfang |
| Behebung und Risikoverantwortung | Verbleiben bei der Organisation | Verbleiben auch bei der Organisation. Mit Active Response kann das SOC vordefinierte Eindämmungsmaßnahmen durchführen. |
Die letzte Zeile ist die, die am häufigsten missverstanden wird. Ein Managed SOC reduziert den Aufwand für Aufbau und Betrieb einer internen Monitoring-Funktion, übernimmt jedoch nicht die Verantwortung für Behebung, Governance oder Risikomanagement. Ein Co-Managed-Modell liegt zwischen beiden Ansätzen und ermöglicht eine Aufteilung der Verantwortlichkeiten anhand der vorhandenen Ressourcen, Kompetenzen und Prioritäten der Organisation.
Key Takeaways
- Ein Managed SOC stellt Sicherheitsüberwachung, Alert-Triage, Untersuchung, Eskalation und Reporting als Managed Service bereit.
- Warnmeldungen werden stufenweise analysiert, sodass Routinefälle effizient bearbeitet werden können und Analysten sich auf tatsächliche Bedrohungen konzentrieren können.
- Ein Managed SOC hilft Organisationen beim Umgang mit Sicherheitsrisiken, kann diese Risiken aber nicht vollständig beseitigen.
- Effektives Monitoring hängt von geeigneten Datenquellen, klar definierten Verantwortlichkeiten und einem internen Ansprechpartner für Eskalationen ab.
- Managed SOC Services sind besonders relevant für Organisationen, die intern keine vollständige zeitliche Abdeckung gewährleisten können, mit hohen Alert-Mengen kämpfen oder strukturierte Prozesse für Detection und Incident Handling nachweisen müssen.
- Die vollständige Behebung von Vorfällen, Governance und Risikoverantwortung verbleiben beim Kunden.
- Wenn Active Response Bestandteil des Services ist, kann das SOC vereinbarte Eindämmungsmaßnahmen im Rahmen der vom Kunden gewährten Berechtigungen durchführen.
Managed SOC Services aus dem SITS Cyber Defense Center
SITS bietet Managed SOC Services über das SITS Cyber Defense Center, eine europäische Einrichtung mit SOC-Analysten in Deutschland und Dänemark. Der Service vereint strukturierte Untersuchungsprozesse, flexible Technologieintegration und optionale aktive Reaktionsmöglichkeiten.
KI-gestützte Triage, analystengeführte Untersuchung
Bevor ein Alarm einen Analysten erreicht, bewerten unternehmenseigene KI-Modelle dessen Schweregrad. Sie vergleichen ihn mit bereits untersuchten Vorfällen, sodass ähnliche, bereits bekannte Fälle herabgestuft oder abgeschlossen werden können. Alle übrigen Alarme durchlaufen strukturierte Analyseebenen:
- Eine schnelle Erstbewertung der Vorfallsdaten
- Eine erweiterte Untersuchung verwandter Aktivitäten vor und nach dem Ereignis
- Eine detaillierte Analyse mithilfe von Threat Intelligence und Threat Hunting, wenn erforderlich
Wenn ein Vorfall die Möglichkeiten des SOC übersteigt, wird er an das SITS Incident Response Team übergeben. Die erste Triage sowie die Sammlung relevanter Nachweise sind zu diesem Zeitpunkt bereits abgeschlossen.
Ihre eigenen Werkzeuge, oder unsere
Der Service wird primär mit IBM QRadar, Elastic Security und Microsoft Sentinel sowie Elastic Defend und Microsoft Defender für EDR/XDR bereitgestellt. Dabei handelt es sich um Plattformen, mit denen das Cyber Defense Center bereits Erfahrung gesammelt hat. Sie sind aber nicht verpflichtend. Verwendet Ihre Organisation bereits eine andere SIEM-, EDR- oder XDR-Lösung, kann diese integriert werden, sodass vorherige Sicherheitsinvestitionen weiterhin genutzt werden können. Die genaue technische Umsetzung hängt von der jeweiligen Plattform ab. Unabhängig von der Quelle werden Ereignisse über die eigene SOAR-Plattform IntellAgent von SITS verarbeitet und nach denselben standardisierten Prozessen behandelt. Die Kompatibilität einzelner Werkzeuge wird während der Service-Definition geprüft.
Active Responder
Active Responder ist die Active-Response-Erweiterung von SITS für Leistungspakete, die Detection und Response umfassen. Abhängig von den vereinbarten Berechtigungen und den technischen Möglichkeiten der angebundenen Plattformen können Analysten:
- Endgeräte isolieren
- Sitzungen entziehen
- Passwörter zurücksetzen
- Konten sperren
- Indicators of Compromise (IoCs) auf eine Sperrliste setzen
- Schädliche Prozesse blockieren
Damit diese Maßnahmen durchgeführt werden können, stellt der Kunde API-Schlüssel oder Service-Zugangsdaten für die jeweiligen Sicherheitsplattformen bereit, beispielsweise für Microsoft Defender, Microsoft Sentinel oder Cortex XDR. Die Berechtigungen sind auf die innerhalb des Services vereinbarten Aktionen beschränkt. Die Verantwortung für Vergabe und Verwaltung dieser Zugriffsrechte liegt weiterhin beim Kunden.
Schnelles Onboarding
Bei vordefinierten Use Cases dauert die technische Implementierung durchschnittlich vier bis sechs Tage. Die vollständige operative Einsatzbereitschaft wird in der Regel nach etwa zwei bis drei Wochen erreicht. Komplexe Umgebungen mit zahlreichen Datenquellen können zusätzlichen Zeitaufwand erfordern.
Kundenbeispiel: Sunweb Group
Die Sunweb Group ist ein europäischer Reiseveranstalter mit rund 500 Mitarbeitenden und Aktivitäten in sieben Ländern. Das kleine interne Security-Team war durch die tägliche Bearbeitung von Phishing-Meldungen und Alert-Triage stark ausgelastet. SITS übernahm das operative Security Monitoring, während beide Teams gemeinsam die erforderlichen Playbooks entwickelten. Darüber hinaus konnte Sunweb seine bestehenden Microsoft-E5-Lizenzen stärker nutzen. Die Zahl der False Positives ging deutlich zurück, und das Team von Sunweb kann sich heute stärker auf Bewertungen, neue Fähigkeiten und Verbesserungen konzentrieren.
“Während SITS das gesamte Alerting, die Phishing-Mails und solche Dinge übernimmt, können wir uns darauf fokussieren, neue Fähigkeiten einzuführen, Assessments durchzuführen und tatsächlich Dinge zu verbessern.”
- Cristian Posariu, Head of Information Security, Sunweb
Hält Ihr Security Monitoring Schritt?
Erfahren Sie, wie ein Managed SOC das Security Monitoring in Ihrer Umgebung stärken, Transparenzlücken schließen und Ihr internes Team unterstützen kann.
