Gastbeitrag: Die Professionalisierung der Gefahrenabwehr darf keine Frage der Unternehmensgröße sein, fordert Michael Haas.
Foto: Watchguard
Der Autor Michael Haas ist Regional Vice President Central Europe bei WatchGuard Technologies.
Die Statistik spricht eine klare Sprache: Laut einer Studie von Accenture zielen 43 Prozent der Hackerattacken auf Organisationen mit begrenzten Ressourcen ab. Umso mehr kommt es darauf an, dass kleine und mittelständische Unternehmen im Zuge ihrer Sicherheitsstrategie konsequent nachrüsten. Die Etablierung eines Security Operations Centers (SOC) ist in dem Zusammenhang ein wichtiger Schritt, der nicht zwangsläufig am internen Kapazitätsmangel scheitern muss.
Dass Angreifer immer methodenreicher vorgehen, ist kein Geheimnis. Nicht nur die Zahl der versuchten Übergriffe wächst. Auch die Komplexität der Angriffsmuster und die Bandbreite der potenziellen Einfallstore nehmen weiter zu. Themen wie Ransomware, Phishing, die Kompromittierung von Lieferketten, der Einsatz von künstlicher Intelligenz (KI) und maschinellem Lernen (ML) im Zuge professioneller Eindringversuche, die Ausnutzung von Zero-Day-Schwachstellen oder der Missbrauch gestohlener Zugangsdaten treiben IT-Verantwortlichen immer öfter den Schweiß auf die Stirn – nicht zuletzt vor dem Hintergrund, dass im Rahmen der Dezentralisierung von Unternehmensstrukturen durch Homeoffice und Co. die Angriffsfläche noch größer wird. Zudem sind die Folgen einer erfolgreichen Cyberattacke nicht zu unterschätzen, wie das jüngste Beispiel des Fahrradherstellers Prophete zeigt: Dieser musste kurz vor Weihnachten 2022 Insolvenz anmelden, nachdem ein Angriff den Betrieb für mehrere Wochen lahmgelegt hatte.
Foto: Watchguard
Ein SOC wird vor dem Hintergrund der Bedrohungslage auch für mittelständische Unternehmen zum essenziellen Baustein der Sicherheitsstrategie.
Erkennen einer Datenschutzverletzung dauert im Schnitt 277 TageEntsprechend aufrüttelnd sind die Zahlen des „Cost of a data breach“-Reports von IBM. Danach betrug die durchschnittliche Zeit, um einen IT-Sicherheitsvorfall zu erkennen und zu beheben, im Jahr 2022 ganze 277 Tage. Dieser hohe Wert lässt sich auf verschiedenste Ursachen zurückführen. Zum einen fehlt es in Unternehmen aufgrund des fortschreitenden Fachkräfte- und internen Ressourcenmangels immer öfter an Kapazitäten, um mit der Professionalisierung der Angreifer Schritt halten zu können. Erschwerend hinzu kommt, dass der nicht aufeinander abgestimmte Einsatz von Sicherheitslösungen auf Unternehmensseite die Effizienz der Gefahrenerkennung und -abwehr zusätzlich ausbremst. Angreifer, die zunehmend auf Automatisierung setzen, sind Sicherheitsteams auf Unternehmensseite meist weit voraus.
Die Hürden sind nachvollziehbar. Dennoch ist der Aufbau eines modernen Security Operations Centers für Unternehmen jeder Größenordnung eigentlich unerlässlich. Denn nur so kann dem Zeitvorteil, den Angreifer in der Regel genießen, nachhaltig entgegengewirkt werden. Ein SOC ist auf die konsequente Überwachung und Analyse ausgelegt. Es bietet dabei zentralisierte und konsolidierte Fähigkeiten zur Prävention, Erkennung und Reaktion auf Cybersicherheitsvorfälle. Die Anforderungen sind hierbei in den letzten Jahren weiter gestiegen. Heute gilt es im Rahmen von SOC mehr denn je, Netzwerk, Endpoints, Anwendungen und Anwenderaktivitäten ganzheitlich im Blick zu behalten und proaktiv abnormales Verhalten zu erkennen, Indikatoren für einen potenziellen Sicherheitsvorfall zu untersuchen und sofort auf Bedrohungen zu reagieren – egal wie ausgefeilt diese daherkommen. Hierfür ist ein Einsatz rund um die Uhr essenziell.
Foto: Watchguard
Komponenten eines modernen SOC
Managed Detection Services unterstützenWas zunächst erstmal extrem aufwendig klingt, ist dank neuer technologischer Möglichkeiten kein Hexenwerk mehr. Vor allem Managed Detection and Response (MDR) Services versprechen entscheidende Unterstützung. Hierbei werden über eine cloudbasierte Infrastruktur Funktionen zum Threat Hunting und einer proaktiven Erkennung, Untersuchung und Abwehr eventueller Gefahren zur Verfügung gestellt. Mittlerweile gibt es Dienstleister mit schlüsselfertigen Lösungen, die auf einem vordefinierten Technologiebaukasten aufsetzen, um relevante Protokolle, Systemaktivitäten, Daten und kontextbezogene Informationen zu sammeln. Diese werden innerhalb der Plattform des Anbieters unter Zuhilfenahme moderner Technologien einschließlich KI und ML und weiterer Bedrohungsdaten analysiert. Zusätzlicher Mehrwert geht von menschlichen Spezialisten aus, die die Ergebnisse im Zuge der aktiven Reaktion und Eindämmung der Bedrohung weiter verfeinern.
Umsetzungsstrategien im Rahmen eines SOC-Ansatzes werden immer vielfältiger. Der Aufbau eines komplett internen SOC steht jedem Unternehmen frei. Doch genau hier kommen die bereits mehrfach angesprochenen begrenzten Ressourcen wieder ins Spiel. Gerade kleineren Unternehmen fehlen schlicht und ergreifend die Mittel. Alternativ können sie auf SOCaaS (Security Operations Center as a Service) ausweichen und ein externes Unternehmen mit der Durchführung hochqualifizierter
Überwachungs-, Erkennungs- und Abwehraufgaben beauftragen. Aber auch Mischformen zwischen Eigen- und Dienstleistung sind in der Praxis keine Besonderheit mehr, zumal ein hybrides Modell das Beste aus beiden Welten bietet: Die Kombination aus internen Mitarbeitern, die durch Experten von Drittanbietern ergänzt werden, legt das Fundament für eine verlässliche Erkennung und Reaktion.
Aufgrund der großen Spielfläche zum Aufbau eines SOC sollten Unternehmen, die von Anfang an aufs richtige Pferd setzen wollen, folgenden Aspekten besonders viel Aufmerksamkeit schenken – unabhängig davon, welchen der genannten SOC-Ansätze sie konkret verfolgen.
1. Cloud-Strukturen: Die Cloud ist effizienter als jede andere Option, wenn es um die schnelle Bereitstellung von Sicherheitsfunktionalität und Updates für Remote-Mitarbeiter sowie die zentrale Verwaltung von Compliance, Security-Vorgaben und neuen Architekturen wie Zero Trust geht. Zudem ermöglichen Cloud-Strukturen den IT-Verantwortlichen die Administration und Einsicht von jedem Ort der Welt aus.
2. Automatisierung: SOC-Analysten haben nicht die Zeit, manuell auf jeden Alarm und jedes Anzeichen eines Angriffs zu reagieren. Automatisierung ist notwendig, um Prozesse zu rationalisieren, Bedrohungen zu priorisieren und das Risiko manueller Fehler zu eliminieren. Einer der Mythen über die Automatisierung ist, dass sie eingesetzt wird, um Analysten zu ersetzen. In Wahrheit ist genau das Gegenteil der Fall. Automatisierung trägt dazu bei, dass diese noch effizienter agieren und sich auf hochriskante Vorfälle konzentrieren können.
3. Maschinelles Lernen (ML) und künstliche Intelligenz (AI): Angreifer nutzen ML und KI, um ihre Angriffe gezielt und in großem Umfang durchzuführen. Wenn SOC keine vergleichbaren Tools verwenden, geraten sie über kurz oder lang ins Hintertreffen. Der Einsatz von ML/AI für die Korrelation und Analyse unterstützt eine Skalierbarkeit, Tiefe und Konsistenz, die von menschlichen Analysten nicht erreicht werden kann, und erhöht somit nachhaltig die Gesamteffizienz des Sicherheitsteams.
4. Fortschrittliche EDR-, NDR- und XDR-Lösungen: Gerade im Hinblick auf den Schutz von remote agierenden Mitarbeitern ist der Austausch der spezifischen Informationen und Bedrohungsdaten unerlässlich. Daher sollten fortschrittliche Lösungen für Endpoint Detection and Response (EDR), Network Detection and Response (NDR) und/oder Extended Detection and Response (XDR) zum Einsatz kommen. Damit haben SOC-Teams Zugriff auf weitreichende Informationen zu laufenden Bedrohungskampagnen aus der ganzen Welt in Echtzeit. Ein weiteres Schlüsselelement ist eine integrierte, durchgängige Plattform, die einen ganzheitlichen Überblick über die gesamte Umgebung bietet. Dies ist nicht nur wichtig, um Bedrohungen zu überwachen und zu erkennen, sondern trägt zudem maßgeblich dazu bei, die Reaktionszeit zu verkürzen und mögliche Schäden zu begrenzen.
Von einem Security Operations Center profitiert jedes Unternehmen, da es dazu beiträgt, Gefahren besser und schneller zu erkennen und entsprechend abzuwehren. Das Risiko von Kosten und Imageschäden im Zuge erfolgreicher Angriffe lässt sich damit spürbar minimieren. Daher sollten sich nicht nur große Konzerne gezielt mit diesem Thema auseinandersetzen. Zumal die Hürden des Aufbaus dank moderner Technologien und Service-Angebote für mittelständische Unternehmen immer kleiner werden.
