IT-Sicherheit / Cybersecurity: SOC

Eine automatische Meldung eines Sicherheitssystems, dass gerade etwas Verdächtiges passiert.

„Kurz nach Mitternacht ging im SIEM ein Alarm zu einem Serverkonto ein, das seit Monaten niemand mehr benutzt hatte.“

Die Arbeitszeit in der Nacht, in der ein Team den laufenden Betrieb weiterführt.

„In der Nachtschicht sind im SOC nur zwei Analysten im Dienst, deshalb sind die Eskalationswege genau festgelegt.“

Ein Alarm, hinter dem sich bei der Prüfung keine echte Bedrohung zeigt.

„Nach zwanzig Minuten Analyse stand fest, dass es ein Fehlalarm war: Ein neues Skript der Softwareverteilung hatte ihn verursacht.“

Der Moment, in dem ein Team offene Aufgaben und wichtige Informationen an das nächste Team weitergibt.

„Bei der Schichtübergabe um 22 Uhr gehen wir alle offenen Alarme gemeinsam durch.“

Eine Sache über längere Zeit im Blick behalten, bis sie erledigt ist.

„Den Fall mit dem gesperrten Dienstkonto muss die Frühschicht nachverfolgen, weil der Kunde erst ab acht Uhr erreichbar ist.“

Ein Dienst, bei dem man außerhalb der Arbeitszeit telefonisch erreichbar ist und bei Bedarf eingreift.

„Diese Woche hat Murat Rufbereitschaft für das L3-Team und kann bei kritischen Fällen auch nachts angerufen werden.“

Eine schriftliche Zusammenfassung dessen, was bei einer Übergabe an das nächste Team weitergegeben wird.

„Im Übergabeprotokoll steht, dass der Alarm auf dem Mailserver noch auf eine Rückmeldung des Kunden wartet.“

Ein Zahlenwert, mit dem man die Leistung oder Qualität einer Arbeit messen kann.

„Die wichtigste Kennzahl für den Kunden ist, wie schnell wir einen echten Angriff erkennen.“

Ein Bericht, der einmal im Monat die wichtigsten Ereignisse und Zahlen zusammenfasst.

„Im Monatsbericht für das Klinikum erklären wir auch, warum die Zahl der Alarme im September gestiegen ist.“

Die erste schnelle Bewertung eines Alarms, bei der man entscheidet, wie dringend er ist und wer ihn weiterbearbeitet.

„Die Triage übernimmt bei uns das L1-Team; erst wenn der Verdacht bestehen bleibt, geht der Fall an L2.“

Einem Alarm oder Fall nach neuer Prüfung eine höhere Stufe geben, zum Beispiel von „mittel“ auf „hoch“.

„Als klar war, dass das betroffene Konto Administratorrechte hat, haben wir den Alarm von „mittel“ auf „hoch“ hochgestuft.“

Etwas nach einer Prüfung als unbegründet ablehnen; im SOC: einen Alarm ohne weitere Maßnahmen schließen.

„Einen Alarm darfst du erst verwerfen, wenn du im Ticket begründet hast, warum er harmlos ist.“

Einem Alarm zusätzliche Informationen hinzufügen, damit man ihn besser bewerten kann.

„Das Playbook reichert jeden Alarm automatisch mit dem Standort und der Abteilung des Benutzers an.“

Der Zustand, in dem man wegen zu vieler unwichtiger Alarme unaufmerksam wird und echte Gefahren übersehen kann.

„Wenn eine Regel jeden Tag hundert Fehlalarme erzeugt, führt das schnell zu Alarmmüdigkeit im Team.“

Eine begründete Vermutung, die man durch eine gezielte Suche in den Daten bestätigen oder widerlegen will.

„Unsere Hypothese für das Threat Hunting lautet: Ein Angreifer nutzt geplante Aufgaben, um sich dauerhaft im Netz festzusetzen.“

Mehrere Dinge zu einem Ganzen verbinden, zum Beispiel mehrere Alarme zu einem einzigen Fall.

„Die drei Alarme betreffen denselben Rechner, deshalb habe ich sie in einem Ticket zusammengeführt.“

Ein Fall, bei dem es Hinweise auf einen Angriff gibt, der aber noch nicht bestätigt ist.

„Jeder Verdachtsfall wird innerhalb von 15 Minuten an die L2-Analysten weitergegeben.“

Die Entscheidung, welche Aufgaben zuerst und welche später bearbeitet werden.

„Bei der Priorisierung zählt nicht nur der Schweregrad des Alarms, sondern auch, wie wichtig das betroffene System ist.“