Security Operations Center (SOC)

Bedrohungserkennung und Reaktion

Wir erkennen Angriffe auf Ihre IT- und OT-Infrastruktur und reagieren darauf. Das ist die Kernleistung des SOC.

Ein Angriff kündigt sich nicht an. Am Anfang sieht er aus wie normaler Betrieb. Ein Konto meldet sich nachts an. Ein Server spricht mit einer Adresse, die er noch nie gebraucht hat. Ein Dienst taucht auf, den dort niemand eingerichtet hat. Jedes Ereignis für sich ist harmlos. Zusammen ergeben sie ein Muster.

Diese Verknüpfung leistet unser SIEM. Die Sicherheitsereignisse Ihrer Systeme laufen an einer Stelle zusammen und werden dort miteinander in Beziehung gesetzt. Eine fehlgeschlagene Anmeldung ist für sich genommen bedeutungslos. Viele fehlgeschlagene Anmeldungen, gefolgt von einer erfolgreichen und einem neuen Dienst auf demselben Server, sind ein Vorfall. Kein Einzelsystem sieht diesen Zusammenhang. Er entsteht erst in der Korrelation.

Dazu kommt die Erkennung auf Verhaltensebene. Auf den Endgeräten arbeitet EDR, im Netzverkehr NDR. Beide suchen nicht nach bekannten Dateien, sondern nach auffälligem Verhalten. Also nach Prozessen, die etwas tun, was sie an dieser Stelle nicht tun sollten. Und nach Verbindungen, die es in Ihrem Netz vorher nicht gab.

Erkennen allein reicht nicht. Ein Alarm, auf den niemand reagiert, ist nur ein Eintrag mehr. Deshalb gehört die Reaktion zur Leistung. Wir prüfen den Fund, ordnen ihn ein und leiten die vereinbarten Schritte nach etablierten Verfahren der Incident Response ein. Wiederkehrende Schritte laufen automatisiert ab, damit die ersten Minuten nicht mit Handarbeit vergehen. Die Entscheidungen, die ein Urteil brauchen, treffen Menschen.

Zur Erkennung gehört auch die Sicherheitstechnik selbst. Der laufende Betrieb Ihrer Firewall liegt im NOC unter Firewall-Service. Angriffe, die sich gegen diese Firewall richten oder durch sie hindurchgehen, sind Sache des SOC.

Für Betreiber kritischer Infrastrukturen ist das keine Kür. Das BSI verlangt ein System zur Angriffserkennung (SzA). Wir setzen es um und betreiben es. Mehr dazu auf der Seite Kritische Infrastrukturen.

Endpoint Protection

Wir schützen jedes einzelne Gerät, vom Notebook bis zum Server. Aus einem einzelnen Klick eines Mitarbeiters wird so kein Flächenbrand im ganzen Netz.

Der Endpunkt ist das häufigste Einfallstor. Jemand öffnet einen Anhang, der aussieht wie eine Rechnung. Das passiert auch aufmerksamen Leuten, und es passiert genau dann, wenn viel zu tun ist. Von diesem einen Notebook aus geht es weiter ins Netz. Deshalb sitzt hier die erste Erkennungsstufe.

Die Basis ist aktueller Virenschutz auf allen Endgeräten, aktuell G DATA. Die Auswahl halten wir an die Bedrohungslage angepasst. Darüber liegt Endpoint Detection and Response mit fortgeschrittener Bedrohungserkennung und automatisierter Reaktion.

Der Unterschied zwischen beidem ist wichtig. Klassischer Virenschutz erkennt, was bereits bekannt ist, und blockt es sofort. Endpoint Detection and Response schaut auf das Verhalten. Es sieht die Kette und nicht die einzelne Datei. Ein Anhang startet ein Skript. Das Skript lädt Code nach. Der Code greift auf Anmeldedaten zu. Jeder Schritt für sich kann legitim sein. Die Kette ist es nicht. Ein Programm, das beginnt, Dateien reihenweise zu verschlüsseln, fällt auch dann auf, wenn die Schadsoftware neu und unbekannt ist.

Wir überwachen diese Meldungen und alarmieren bei Sicherheitsvorfällen. Die Meldungen bleiben dabei nicht auf dem Gerät stehen. Sie laufen in dieselbe Auswertung wie die übrigen Sicherheitsereignisse und werden dort mit dem Rest Ihrer Infrastruktur zusammengeführt. Aus den Daten entstehen Auswertungen, die Sie für Compliance-Nachweise verwenden können.

Endpoint Protection ist nicht Endpoint Management. Protection schützt das Gerät vor Bedrohungen und gehört deshalb ins SOC. Das Endpoint Management verwaltet das Gerät, verteilt Software, spielt Updates ein und hält die Konfiguration einheitlich. Es arbeitet auf Basis von baramundi und gehört als Betriebsleistung ins NOC. Beides greift ineinander, denn ein gepflegtes Gerät hat weniger Angriffsfläche. Getrennt sind die Aufgaben trotzdem, weil sie verschiedene Fragen beantworten.

Vulnerability Assessment (VAS)

Wir suchen laufend nach Schwachstellen in Ihren Systemen und sagen Ihnen, welche Sie zuerst schließen müssen. Wir betrachten das aus der Netzwerksicht. Der zweite Teil ist der eigentliche Nutzen.

Geprüft wird über das Netz. Zusätzliche Software auf den einzelnen Geräten braucht es dafür nicht. Das klingt nach einem technischen Detail. In einer Produktionsumgebung entscheidet es darüber, ob überhaupt geprüft wird. Auf einer Maschinensteuerung, einem medizintechnischen Gerät oder einem älteren Produktionssystem lässt sich meistens nichts installieren. Der Hersteller gibt es nicht frei. Die Zulassung oder die Gewährleistung hängt daran. Oder das System ist schlicht zu alt.

Genau dort entsteht sonst ein blinder Fleck. Wer nur prüft, wo zusätzliche Software laufen darf, prüft die Büro-IT. Übersehen werden ausgerechnet die Systeme, die am längsten laufen und am schwersten zu ersetzen sind. Solche Anlagen laufen oft länger als der Support ihres Herstellers. Für ihre Lücken gibt es dann keine Updates mehr, während sie öffentlich dokumentiert sind. Über das Netz kommt alles in den Blick, was eine IP-Adresse trägt. Auch der Drucker, die Steuerung und das Altsystem.

Der breitere Blick bringt ein zweites Problem mit. Je mehr Systeme sichtbar werden, desto länger wird die Liste. Ein Schwachstellenscan ist schnell gemacht. Jeder Eintrag trägt eine Kritikalität, und viele davon stehen auf hoch. Diese Liste bekommt ein IT-Leiter heute überall. Das Problem ist nicht, dass sie fehlt. Das Problem ist, dass sie niemand abarbeitet.

Der Grund ist einfach. Eine kleine IT-Abteilung hat neben dem Tagesgeschäft wenig Zeit für Arbeiten, die über den normalen Update-Zyklus hinausgehen. Eine sehr lange Liste ist damit nicht zu bewältigen. Wenn alles wichtig ist, ist nichts wichtig. Die Liste wandert ins Archiv, und die Umgebung bleibt so verwundbar wie vorher. Beim nächsten Scan ist die Liste länger. Eine Schwachstellenliste ohne Priorisierung erhöht die Sicherheit nicht. Sie erhöht nur den Papierbestand.

Deshalb priorisieren wir nach der tatsächlichen Ausnutzungswahrscheinlichkeit und nicht nach der Länge der Liste. Grundlage dafür ist EPSS. Dieser Wert schätzt, wie wahrscheinlich es ist, dass eine bestimmte Schwachstelle wirklich angegriffen wird. Das ist eine andere Frage als die nach der technischen Schwere. Die Schwere beschreibt, wie schlimm eine erfolgreiche Ausnutzung wäre. Sie sagt nichts darüber, ob sie überhaupt jemand versucht.

Der Unterschied ist in der Praxis groß. Manche Schwachstellen mit hoher technischer Schwere sind so aufwendig auszunutzen, dass es faktisch nicht passiert. Andere mit mittlerer Schwere werden massenhaft ausprobiert. Wer stur nach Schweregrad arbeitet, patcht die erste Gruppe und lässt die zweite offen.

Was Sie bekommen, ist damit keine Liste, sondern eine Reihenfolge. Wir scannen regelmäßig, bewerten die Funde und sagen Ihnen mit Begründung, was zuerst zu schließen ist. Der Rest verschwindet nicht. Er rutscht nach hinten und kommt nach vorn, sobald sich die Lage ändert. Ihr Team arbeitet dadurch von oben nach unten und kommt an ein Ende. Der nächste Durchlauf zeigt, was geschlossen wurde und was neu dazugekommen ist.

Vulnerability Assessment ist eine Leistung von inducio. Technische Grundlage ist das Central Operations Dashboard (COD), das den Bestand Ihrer Netzgeräte ohnehin laufend führt. Befund und Gerät liegen dadurch an einer Stelle. Die Bewertung und die Empfehlung kommen von uns. Ein Wahrscheinlichkeitswert kennt Ihre Umgebung nämlich nicht. Er weiß nicht, welches System bei Ihnen den Betrieb trägt und welche Anlage bei einem Ausfall die Produktion anhält. Diesen Teil steuern wir bei, weil wir Ihre Infrastruktur kennen.

Was wir über offene Schwachstellen wissen, fließt in die Bewertung eines Vorfalls ein. Eine offene Lücke auf einem System, das gerade auffällig wird, verändert die Einschätzung in der Bedrohungserkennung.

Die Plattformen

Hinter den drei Leistungen stehen zwei Plattformen. Sie müssen beide nicht kaufen, nicht betreiben und nicht bedienen. Wir bringen sie mit und betreiben sie als Teil des Service.

Sicherheitsdaten liegen sonst verstreut. Die Firewall hat ihr Protokoll, der Virenscanner sein eigenes, die Server noch eines. Wer einen Vorfall nachvollziehen will, öffnet drei Systeme und vergleicht Uhrzeiten von Hand. Das dauert lange. Lange ist genau das, was man in dieser Lage nicht hat.

ZephSense ist unsere eigene Security-Plattform und ein Produkt der inducio GmbH. Erkennung und Reaktion setzen darauf auf. Das SIEM sammelt die Ereignisse aus allen angebundenen Systemen und bringt sie in einen Zusammenhang. EDR und NDR liefern die Verhaltenserkennung auf den Endgeräten und im Netzverkehr. SOAR führt die immer gleichen Reaktionsschritte automatisiert aus. Der Vorteil liegt in der gemeinsamen Datenbasis. Endpunkt und Netzverkehr laufen in einer Auswertung zusammen. Damit ist in einem Schritt sichtbar, ob ein auffälliger Prozess auch im Netzverkehr Spuren hinterlässt. Für Betreiber kritischer Infrastrukturen ist ZephSense zugleich ein technischer Unterbau für ein System zur Angriffserkennung nach BSI-Vorgaben.

Das Central Operations Dashboard (COD) trägt das Vulnerability Assessment. Es ist eine herstellerunabhängige Plattform der extocode GmbH und führt den Bestand Ihrer Netzgeräte ohnehin laufend. Genau deshalb sitzt die Schwachstellenbetrachtung dort. Dieselbe Plattform trägt auch das Monitoring im Betrieb.

Alle technischen Details finden Sie unter zephsense.cloud und unter Central Operations Dashboard.

Aufnahme. Wir nehmen Ihre Umgebung auf und legen fest, welche Quellen in die Überwachung gehen. Das sind typischerweise Server, Clients, Netzwerkkomponenten, Firewalls und die relevanten OT-Systeme.

Anbindung. Wir binden die Systeme an und richten die Erkennung auf Ihre Umgebung aus. Dabei legen wir gemeinsam fest, was als Vorfall gilt und wer in welchem Fall informiert wird.

Betrieb. Wir bewerten die Sicherheitsereignisse fortlaufend und scannen Ihre Systeme regelmäßig auf Schwachstellen. Was Rauschen ist, sortieren wir aus, damit die echten Funde nicht untergehen.

Vorfall. Bei einem bestätigten Vorfall reagieren wir nach etablierten Verfahren und eskalieren auf den vorher vereinbarten Wegen. Sie erfahren, was passiert ist und was wir getan haben. Jeder Schritt wird nachvollziehbar dokumentiert.