Fallstudie Security Monitoring KRITIS: So schützt ein Großkonzern sein Netzwerk mit einem SOC
Aufbau eines Security Operations Center für einen KRITIS-Betreiber, mit Datenquellen aus mehreren Standorten in gemeinsamen Auswertungen und einer rund um die Uhr besetzten Schicht.
Ein Betreiber kritischer Infrastruktur brauchte eine Erkennung, die mehrere Standorte in einem Bild zusammenführt und rund um die Uhr besetzt ist.
Auftrag und Zuschnitt
Mehrere Standorte, eine Auswertung, durchgehende Besetzung.
Umfeld
Ein KRITIS-Betreiber mit verteilten Standorten, eigener Betriebstechnik und einer Landschaft, die über Jahre gewachsen ist.
Auftrag
Aufbau eines Security Operations Center, das Ereignisse aus allen Standorten zusammenführt, bewertet und im Ernstfall handlungsfähig ist.
Besonderheit
IT- und OT-Datenquellen sollten in denselben Auswertungen liegen, nicht in getrennten Systemen mit getrennten Teams.
Getrennte Sicht auf zusammenhängende Systeme
Jeder Standort brachte eigene Systeme, eigene Zuständigkeiten und eine eigene Sicht mit. Ein Angriff, der sich über Standortgrenzen bewegt, wäre in keiner dieser Sichten vollständig sichtbar gewesen.
Erschwerend kam die Trennung zwischen IT und Betriebstechnik hinzu. Beide Bereiche hatten Daten, aber keine gemeinsame Auswertung und im Ernstfall hätte niemand die Reichweite bestimmen können.
Vom Standort zur gemeinsamen Sicht
Der Aufwand lag nicht in der Plattform, sondern in der Vereinheitlichung.
Quellen erschließen
Bestandsaufnahme je Standort, Anbindung der relevanten Systeme und Normalisierung auf ein gemeinsames Schema.
OT-Quellen einbeziehen
Passive Erfassung an den Übergängen und in ausgewählten Betriebsnetzen, ohne Rückkanal in die Prozesse.
Use Cases entwickeln
Erkennungslogik für die Wege, die über Standort- und Bereichsgrenzen laufen, versioniert und gegen ihre Abdeckung gemessen.
Schicht und Prozesse
Aufbau der Besetzung, Triage-Kriterien, Eskalations- und Meldewege, dazu Playbooks für die häufigsten Szenarien.
Was der Betreiber am Ende hatte
Eine durchgehende Sicht über die Standorte, in der IT- und OT-Ereignisse gemeinsam bewertet werden, eine rund um die Uhr besetzte Schicht mit definierten Abläufen und die Fähigkeit, im Ernstfall die Reichweite eines Vorfalls zu bestimmen.
Für die Nachweisführung gegenüber der Aufsicht war entscheidend, dass sich Erkennung und Reaktion dokumentieren lassen, nicht nur beschreiben.
Was Sie daraus mitnehmen können
Ein SOC über mehrere Standorte scheitert selten an Technik. Es scheitert daran, dass jeder Standort seine Quellen anders benennt. Die Normalisierung ist die Arbeit, die niemand sehen will und ohne die nichts funktioniert.
OT-Quellen gehören von Anfang an dazu. Werden sie später nachgezogen, entsteht ein zweites System neben dem ersten und die Frage nach der Reichweite bleibt unbeantwortet.
Und die Besetzung ist Teil des Aufbaus, nicht ein Anhang. Erkennung ohne jemanden, der reagiert, ist ein Protokoll.
Ein ähnliches Vorhaben?
Referenzdetails nennen wir nach Freigabe und im persönlichen Gespräch.