Security Operations Center (SOC)-Teams stehen zunehmend unter Druck. Die Zahl sicherheitsrelevanter Ereignisse steigt kontinuierlich, und Angriffe werden immer schneller und gezielter. Durch KI und Automatisierung sind gleichzeitig auch die Prozesse in Security Operations Centers immer moderner. Analysen laufen schneller, Muster lassen sich effizienter erkennen, viele Prozesse können skaliert werden. Doch noch immer begrenzt der Mangel an Echtzeit-Transparenz die Wirksamkeit moderner SOCs erheblich, es fehlt häufig eine ganzheitliche, aktuelle Sicht auf externe Internetinfrastrukturen und deren Verhalten. Dadurch müssen Entscheidungen noch zu oft ohne den dringend benötigten Kontext getroffen werden.
Kommentar von Harald Röder, Senior Solutions Engineer bei Censys
Ohne ein ganzheitliches Lagebild – beispielsweise über externe Abhängigkeiten, öffentlich über das Internet erreichbare Systeme und potenzielle Angriffsvektoren – erfolgen Entscheidungen auf Basis unvollständiger Informationen. Handelt es sich um einen harmlosen Vorgang oder um einen Teil einer gezielten Angriffskette? Ohne zusätzliche Einordnung bleibt diese Frage oft unbeantwortet. Das führt zu unnötigen Untersuchungen, inkonsistenten Bewertungen und dem Risiko, tatsächliche Bedrohungen zu übersehen.
Eine interne Sicht auf die eigene Umgebung ist wichtig und zeigt, was im eigenen Netzwerk passiert. Diese Erkenntnisse sollten jedoch auch im größeren Kontext des Internets bewertet werden. Nehmen wir einen Zugriff auf eine externe IP-Adresse als Beispiel – das kann harmlos sein oder Teil einer aktiven Angriffsinfrastruktur. Eine neu entdeckte Schwachstelle kann theoretisch kritisch sein, aber praktisch noch nicht ausgenutzt werden. Sie kann aber umgekehrt auch schon aktiv in Kampagnen auftauchen. Ohne vollständigen Kontext bleibt die Bewertung unscharf. Und das führt dazu, dass entweder zu viele Ereignisse priorisiert werden oder dass relevante Signale im Rauschen untergehen.
Ganzheitliche Transparenz als Grundlage
Die Zusammenführung interner und externer Perspektiven ist ein wirksamer Ansatz, um Security Operations zu verbessern. Ziel ist ein konsistentes Lagebild, das sowohl die eigene Infrastruktur als auch deren Einbettung in das Internet berücksichtigt.
Dazu gehört zunächst die kontinuierliche Erfassung aller extern erreichbaren Systeme, Dienste und Schnittstellen. Diese bilden die tatsächlichen Berührungspunkte mit potenziellen Angreifern. Dazu gehören unter anderem IP-Adressen, Subdomains oder verbundene Geräte. Wichtig ist dabei die Aktualität der Daten. Denn Infrastrukturen verändern sich kontinuierlich – IP-Adressen werden neu genutzt, Dienste kurzfristig bereitgestellt oder wieder abgeschaltet. Statische Informationen verlieren daher schnell an Aussagekraft, eine kontinuierliche Analyse und eine möglichst zeitnahe Einordnung ist entscheidend.
Ergänzt werden sollte dies durch Internet Intelligence, also Informationen aus dem Internet selbst. Dazu zählen beispielsweise Beobachtungen zu auffälligem Verhalten von Infrastrukturen, bekannte Zusammenhänge mit Angriffsmustern oder technische Merkmale, die auf bestimmte Aktivitäten hinweisen. Die systematische Auswertung von frei zugänglichen Datenquellen aus dem Internet ermöglicht wichtige Hinweise und frühzeitige Indikatoren für potenzielle Bedrohungen. Dadurch entsteht Kontext, der eine fundierte Bewertung ermöglicht.
Priorisierung durch strukturierte Risikobewertung
Um aus der Vielzahl an Informationen handlungsrelevante Erkenntnisse abzuleiten, gewinnt außerdem die strukturierte Bewertung von Risiken an Bedeutung. Anstatt einzelne Alerts isoliert zu betrachten, sollten verschiedene Faktoren zusammengeführt und in eine priorisierte Einschätzung überführt werden. Unterschiedliche Faktoren zu berücksichtigen, ermöglicht ein differenziertes Bild und eine gezielte Priorisierung. Dazu gehören unter anderem die Exponierung eines Systems, bekannte Schwachstellen, beobachtete Aktivitäten oder externe Kontextinformationen.
Für SOC-Teams stellt das eine deutliche Entlastung dar. Anstatt große Mengen an Ereignissen gleichrangig zu behandeln, können Ressourcen gezielt auf die kritischsten Fälle beschränkt werden. Gleichzeitig erhöht sich die Konsistenz von Entscheidungen, da diese auf nachvollziehbaren Kriterien basieren. Wichtig ist die direkte Integration in bestehende Arbeitsabläufe und SOC-Workflows. Nur wenn relevante Informationen dort verfügbar sind, wo Entscheidungen getroffen werden, entfalten sie ihren vollen Nutzen.
Bessere Entscheidungsgrundlagen für Effizienzgewinne
Die Kombination aus umfassender Sichtbarkeit und kontextbasierter Bewertung hat direkte Auswirkungen auf die Effizienz von Security Operations Teams. Denn die Zahl unnötiger Untersuchungen sinkt, gleichzeitig steigt die Wahrscheinlichkeit, tatsächlich relevante Vorfälle frühzeitig zu erkennen.
Außerdem verändert sich die Arbeitsweise im SOC, der Fokus verschiebt sich von der reinen Bearbeitung eingehender Alarme hin zu einer strukturierten Bewertung und Priorisierung von Risiken. Analysten können ihre Zeit gezielter einsetzen und komplexere Zusammenhänge untersuchen, anstatt sich mit einer Vielzahl unklarer Signale zu beschäftigen. Auch automatisierte Systeme werden dadurch verbessert, mit ausreichendem Kontext wird die Entscheidungsfindung konsistenter und die Steuerung von Prozessen zuverlässiger.
Fazit
Ohne eine ganzheitliche Sicht auf interne und externe Zusammenhänge bleiben viele Entscheidungen in SOC-Teams unscharf. Das hat oft direkte Auswirkungen auf Effizienz und Sicherheit. Transparenz, Kontextualisierung und strukturierte Bewertung miteinander zu verbinden, kann diese Lücke schließen. Durch die Verknüpfung verschiedener Perspektiven entsteht ein belastbares Lagebild, das fundierte Entscheidungen ermöglicht und Security-Teams dabei unterstützt, sich aus der reaktiven Alarmflut zu lösen.
Über Censys:
Censys, Inc.TM ist die führende Internet-Intelligence-Plattform für Threat Hunting und Attack Surface Management. Censys wurde 2017 in Ann Arbor in Michigan, USA, gegründet und bietet Unternehmen den weltweit umfassendsten Echtzeit-Überblick ihrer Internet-Infrastruktur, Assets und Geräte. Kunden wie Google, Cisco, Microsoft, Samsung, das U.S. Department of Homeland Security, das Office of the Director of National Intelligence (ODNI), die Cybersecurity & Infrastructure Security Agency (CISA) und mehr als 50 % der Fortune 500 vertrauen auf Censys für eine kontextualisierte Echtzeitansicht ihrer Internet- und Clouds-Assets. Um mehr zu erfahren, besuchen Sie www.censys.com und folgen Sie Censys auf LinkedIn, X, Bluesky und Mastodon.
Firmenkontakt
Censys, Inc.TM
Eugenia Kendrick
S Main St 116 ½
MI 48104 Ann Arbor
+1-877-438-9159
http://www.censys.com/de
Pressekontakt
Sprengel & Partner GmbH
Nico Reinicke
Nisterstraße 3
56472 Nisterau
+49 (0) 26 61-91 26 0-0
https://www.sprengel-pr.com/
- Cybersecurity (Wikipedia)
Informationssicherheit ist ein Zustand von technischen oder nicht-technischen Systemen zur Informationsverarbeitung und -speicherung, der die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität sicherstellen soll. Informationssicherheit dient dem Schutz vor Gefahren bzw. Bedrohungen, der Vermeidung von wirtschaftlichen Schäden und der Minimierung von Risiken. In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe oder dem US-System der System and Organization Controls (SOC). Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet. Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung. Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller. Die Umsetzung aus der Cyberresilienz-Verordnung schafft dabei auch Sicherheit auf Hardwareebene und schützt dadurch auch die Betreiber von Anlagen und Maschinen, indirekt auch die Verbraucher. - Cybersicherheit (Wikipedia)
Informationssicherheit ist ein Zustand von technischen oder nicht-technischen Systemen zur Informationsverarbeitung und -speicherung, der die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität sicherstellen soll. Informationssicherheit dient dem Schutz vor Gefahren bzw. Bedrohungen, der Vermeidung von wirtschaftlichen Schäden und der Minimierung von Risiken. In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe oder dem US-System der System and Organization Controls (SOC). Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet. Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung. Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller. Die Umsetzung aus der Cyberresilienz-Verordnung schafft dabei auch Sicherheit auf Hardwareebene und schützt dadurch auch die Betreiber von Anlagen und Maschinen, indirekt auch die Verbraucher. - Security Operations Center (Wikipedia)
Das Security Operations Center (SOC) (deutsch etwa „Sicherheitsbetriebszentrum“) ist eine zentrale organisatorische Einheit, in der alle sicherheitsrelevanten Services im IT-Umfeld von Organisationen oder Unternehmen vor internen und externen Gefahren geschützt werden. Die Aufgabe dieser Einheit ist eine Sicherheitsdienstleistung zur Vorbeugung gegen alle Cyberrisiken. Das beinhaltet die Hardware und Software zur Verwaltung des Sicherheitssystems (Technischer Bereich) ebenso wie das eingesetzte Personal (Organisatorischer Bereich). Während ein Network Operations Center (NOC) der zentralen Betriebsüberwachung und -unterstützung eines Netzwerks dient, schützt das SOC diese Systeme. Geschützt werden neben den Unternehmensnetzwerken, Servern und Arbeitsplatzrechnern zunehmend auch die Cloud- und Internetservices. SOC vereint die drei Teilbereiche Menschen, Prozesse und Technologien um die Sicherheitslage einer Organisation zu steuern und zu verbessern. Ein SOC alarmiert über das Sicherheitsproblem, sorgt aber selbst nicht für die Behebung, für die weiterhin der Kunde oder andere Einheiten verantwortlich sind. Ein SOC kann innerhalb einer Organisation als eigenständige Einheit geführt werden. Alternativ ist ein SOC ein externer Dienstleister, der den Sicherheitsservice erbringt. Ein SOC stellt kontinuierlich 24 Stunden am Tag und für 365 Tage im Jahr die Sicherheit der IT-Plattformen sicher und analysiert alle relevanten Informationen. Die operativen Verwaltungsprozesse, die das SOC steuern, analysieren ständig das Restrisiko und bieten auch Schutz vor Einbruch durch vorübergehende Sicherheitslöcher. Da die Verwaltung von Netzwerk-Sicherheit eine Tätigkeit ist, die viel Zeit und Personal erfordert, ziehen es Unternehmen oft vor, den Dienst auszulagern bzw. an andere Unternehmen zu übertragen, die im Bereich der Informationssicherheit spezialisiert sind. Solch einem Sicherheitspartner die Verwaltung der Sicherheit des eigenen Firmennetzwerks anzuvertrauen, führt typischerweise zu einer erheblichen Kostensenkung. Der Sicherheitspartner muss dazu besonders qualifiziertes Sicherheitspersonal bereitstellen. Die Dienstleistung besteht unter anderem aus dem … - SOC (Wikipedia)
SOC steht als Abkürzung für: Curtiss SOC Seagull, US-amerikanischer Doppeldecker Security Operations Center, IT-Sicherheitszentrum Selectable Output Control, ein Oberbegriff für Kopierschutz-Steuersignale Self-organized criticality, siehe Selbstorganisierte Kritikalität Service-oriented Computing, modulare Software-Technik SOC, IATA-Code des indonesischen Flughafens Adisumarmo (Surakarta) Standards of Care, medizinische Leitlinien zu Geschlechtsdysphorie Super Optimal broth with Catabolite repression, ein Nährmedium für Bakterien, siehe SOB-Medium System Organ Class, medizinische Organklasse, siehe Medical Dictionary for Regulatory Activities #Organklassen SoC steht als Abkürzung für: State of Charge, Ladezustand von Akkumulatoren, siehe Akkumulator#Ladezustand Sense of Coherence, das Kohärenzgefühl nach Aaron Antonovsky in der Salutogenese System-on-a-Chip, Ein-Chip-System Soc steht für: Soko (Sprache) (ISO-639-3-Code), eine Bantusprache der Demokratischen Republik Kongo nördlich von Basoko Siehe auch: Special Operations Command
