Ein Security Operations Center (SOC) ist die Leitstelle für IT-Sicherheit einer Organisation, die technische Ereignisse in Netzwerken und Systemen beobachtet, um Sicherheitsvorfälle zu erkennen, und daneben auch für die Reaktion darauf zuständig sein kann.
Auf einen Blick
Ein SOC kann mit eigenem, ausgelagertem oder gemischtem Personal betrieben werden.
Der Umfang der Aufgaben kann stark variieren; manche SOCs konzentrieren sich auf Überwachung und Erkennung.
DORA nennt kein SOC, verlangt von Finanzunternehmen aber ausreichende Ressourcen und Kapazitäten zur Überwachung.
Was ist ein Security Operations Center (SOC)?
Die Rolle eines SOC besteht nach dem britischen NCSC darin, den Schaden für eine Organisation zu begrenzen, indem es Cyberangriffe erkennt und darauf reagiert, die vorbeugende Sicherheitskontrollen erfolgreich umgehen. Die meisten SOCs sind für das Erkennen von und das Reagieren auf Cyberangriffe zuständig, ihr Umfang kann aber stark variieren. Ein SOC erkennt Sicherheitsvorfälle und kann je nach Aufgabenverteilung auch Maßnahmen zur Eindämmung einleiten. Zusätzlich kann ein SOC weitere Sicherheitsaufgaben wie Schwachstellenbewertung, Compliance-Aktivitäten und Systemkonfiguration umfassen.
Ein Versicherer kann die Überwachung von Sicherheitswarnungen in einem eigenen oder ausgelagerten Security Operations Center (SOC) bündeln; DORA verlangt von Finanzunternehmen ausreichende Ressourcen und Kapazitäten, um Nutzeraktivitäten, IKT-Anomalien und IKT-bezogene Vorfälle, insbesondere Cyberangriffe, zu überwachen. DORA nennt kein SOC. Ein SOC kann eine Möglichkeit sein, die geforderte Überwachung zu organisieren, ist aber keine in DORA vorgeschriebene Einrichtung. Nach ENISA kann ein SOC neben dem Betrieb an einem physischen Ort aus virtuellem und ausgelagertem Personal bestehen oder als Mischform aus internem und ausgelagertem Personal betrieben werden.
Wie arbeitet ein Security Operations Center?
Die Erkennung stützt sich unter anderem auf Logquellen, die nach dem britischen NCSC nicht nur der Detektion dienen, sondern bei einem Vorfall auch wertvollen Kontext zum Systemverhalten für die Reaktion liefern. Ein festgelegtes Zielbetriebsmodell erlaubt es, verhältnismäßige SOC-Dienste wie Threat Intelligence, Content-Entwicklung, Threat Hunting und Incident Response aufzubauen. Wie sich Informationen sammeln, korrelieren und auswerten lassen, um sicherheitsrelevante Ereignisse möglichst vollständig und zeitnah zu detektieren, beschreibt der Baustein DER.1 des IT-Grundschutz-Kompendiums als systematischen Weg. Als sicherheitsrelevantes Ereignis bezeichnet der Baustein ein Ereignis, das sich auf die Informationssicherheit auswirkt und die Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigen kann.
Nach einer im ENISA-Bericht wiedergegebenen Aussage ist das SOC die erste Linie, die alle Alarme erhält, während ein Incident-Response-Team dort nur eskalierte Alarme bekommt oder an der Koordination beteiligt ist.
Security Operations Center (SOC) im Vergleich
Nach ENISA entwickeln sich SOC-Teams typischerweise aus IT-Sicherheitsteams, die ihre Überwachung mit einem SIEM und weiterer Technik zur Automatisierung und Orchestrierung automatisieren; das SIEM ist dabei die Technik, das SOC-Team nutzt sie.
Incident Response bezeichnet dagegen das vorgegebene und erprobte Verfahren zur Behandlung von Sicherheitsvorfällen (Baustein DER.2.1); ein SOC übernimmt die laufende Beobachtung und kann je nach Aufgabenverteilung auch an der Reaktion beteiligt sein. Nach ENISA konzentrieren sich SOCs in großen Unternehmen mitunter nur auf Überwachung und Erkennung und übergeben die Bearbeitung an ein separates CSIRT. In kleineren Organisationen gelten CSIRT und SOC dagegen oft als gleichbedeutend.
Wann lohnt sich ein eigenes Security Operations Center?
| Frage | Worauf es ankommt |
|---|---|
| Eigener oder ausgelagerter Betrieb | Es ist nach ENISA übliche Praxis, dass SOCs im Lauf der Zeit zwischen ausgelagertem und internem Betrieb wechseln. |
| Bedrohungsprofil der Organisation | Nach dem NCSC (britisches National Cyber Security Centre) benötigen manche Organisationen mit extrem hohem Bedrohungsprofil möglicherweise ein SOC, das selbst die raffiniertesten Angriffe erkennen und darauf reagieren kann; die meisten benötigen das nicht. |
| Kritische Assets und Geschäftskontext | Nach dem britischen NCSC kann es für ein SOC sehr schwierig sein, die gesamte IT-Landschaft gleich umfassend zu überwachen; deshalb muss es wissen, welche Assets der Organisation am kritischsten sind und in welchem Geschäftskontext sie betrieben werden. |
| Verfügbares und geeignetes Personal | Geeignetes Personal für die Aufgaben zu finden, kann eine der größten Einschränkungen bei der Umsetzung des Betriebsmodells sein. |
Schutz im Ernstfall
Vorbeugen
- Ein unter DORA fallendes Finanzunternehmen verfügt nach Artikel 10 Absatz 1 DORA über Mechanismen, um anomale Aktivitäten, darunter IKT-bezogene Vorfälle, umgehend zu erkennen.
- Die Erkennungsmechanismen ermöglichen nach Artikel 10 Absatz 2 DORA mehrere Kontrollebenen und legen Alarmschwellen und -kriterien fest, um Reaktionsprozesse bei IKT-bezogenen Vorfällen auszulösen und einzuleiten.
- Der Baustein DER.1 des IT-Grundschutz-Kompendiums verlangt, für sicherheitsrelevante Ereignisse geeignete Melde- und Alarmierungswege festzulegen und zu dokumentieren.
- Eskalationswege klar festlegen.
Was tun im Ernstfall
- Alarme prüfen und einordnen: Nach dem britischen NCSC ist nicht jeder Alarm ein Incident.
- Alarme an Cybersicherheits- und Incident-Response-Werkzeuge sowie an Personal wie das SOC und Incident Responder weitergeben, wie es NIST SP 800-61 Revision 3 beschreibt.
Beispiele aus der Praxis
- Zum Schutz der Regierungsnetze und IT-Systeme des Bundes betreibt das BSI das Bundes Security Operations Center (BSOC), das unter anderem Dienstleistungen zur Erfassung und Auswertung von Protokollierungs- und Sensordaten sowie zur Erkennung und Abwehr von Schadsoftware umfasst.
- Ein SOC erhält die Alarme aus den überwachten Systemen, wertet sie aus und eskaliert einen Vorfall an ein separates Incident-Response-Team, sofern die Organisation die Bearbeitung so aufgeteilt hat.
- Ein Versicherer kann die Überwachung von Sicherheitswarnungen in einem eigenen oder ausgelagerten SOC bündeln, um Nutzeraktivitäten, IKT-Anomalien und IKT-bezogene Vorfälle, darunter Cyberangriffe, zu überwachen.