Security Operations Center (SOC)

Sicherheitswerkzeuge wie EDR oder ein SIEM erzeugen Alarme, entscheiden aber nicht selbst, was ein Alarm bedeutet und was zu tun ist. Dafür braucht es Menschen mit Erfahrung, klaren Abläufen und den nötigen Befugnissen. Ein Security Operations Center bündelt diese Aufgaben. Weil Angriffe nicht an Bürozeiten gebunden sind, arbeiten SOCs häufig rund um die Uhr.

Wie ein Security Operations Center aufgebaut ist

Ein SOC beruht auf drei Elementen:

• Menschen: Analystinnen und Analysten, oft in Stufen organisiert. Die erste Stufe sichtet und bewertet Alarme, weitere Stufen untersuchen komplexe Fälle, suchen aktiv nach verborgenen Angriffen (Threat Hunting) und verbessern die Erkennungsregeln.
• Prozesse: Festgelegte Abläufe, sogenannte Playbooks, beschreiben, wie bei bestimmten Alarmtypen vorzugehen ist, wer informiert wird und welche Maßnahmen erlaubt sind.
• Technik: Typisch sind SIEM, EDR, Werkzeuge zur Automatisierung und Quellen für aktuelle Bedrohungsinformationen.

Ein eigenes SOC aufzubauen und rund um die Uhr zu besetzen, ist personal- und kostenintensiv. Eine Alternative ist ein externes SOC als Dienstleistung oder Managed Detection and Response, bei dem ein Dienstleister Alarme bewertet und erste Gegenmaßnahmen einleitet. Auch Mischformen sind möglich, etwa ein internes Team zu Bürozeiten und ein externes SOC für Nächte und Wochenenden.

Typische Beispiele

• Das SOC erkennt nachts eine verdächtige Anmeldung an einem Administratorkonto, sperrt das Konto vorläufig und informiert die zuständige Person.
• Ein Alarm auf einem Server wird untersucht und als harmlose Wartungsaktivität eingestuft. Die Erkennungsregel wird angepasst, um Fehlalarme zu verringern.
• Bei einem bestätigten Angriff koordiniert das SOC die ersten Schritte der Incident Response.

Worauf Unternehmen achten sollten

• Genau festlegen, welche Systeme überwacht werden und welche Datenquellen angebunden sind.
• Klären, welche Maßnahmen das SOC selbstständig ergreifen darf und wann eine Freigabe nötig ist.
• Erreichbarkeiten, Eskalationswege und Reaktionszeiten vertraglich regeln, etwa in einem Service Level Agreement.
• Regelmäßige Berichte und gemeinsame Übungen vereinbaren.
• Interne Zuständigkeiten nicht vergessen: Auch mit einem externen SOC braucht es Ansprechpersonen im Unternehmen, die entscheiden können.

Abgrenzung

Ein Network Operations Center (NOC) überwacht Verfügbarkeit und Leistung von Netzwerken und Systemen, ein SOC dagegen die Sicherheit. In kleineren Organisationen übernimmt mitunter dasselbe Team beide Aufgaben, die Ziele bleiben aber unterschiedlich.