SOC-Redesign bei einem internationalen Großkonzern
Neuaufbau des Security Monitorings in einem internationalen Konzern: Datenquellen konsolidiert, Use Cases priorisiert und tägliches Threat Hunting etabliert.
Ein internationaler Konzern hatte ein Security Monitoring, das Daten sammelte, aber wenig erkannte. Der Neuaufbau setzte deshalb nicht bei der Plattform an, sondern bei den Quellen und den Use Cases.
Ausgangslage und Zuschnitt
Ein Neuaufbau der Erkennung auf der vorhandenen Plattform.
Umfeld
Ein internationaler Konzern mit gewachsener Landschaft, mehreren Standorten und einer erheblichen Zahl angebundener Systeme.
Problem
Das vorhandene Monitoring sammelte Logdaten in großem Umfang, lieferte aber wenige Alarme, denen jemand nachging. Analysten arbeiteten überwiegend reaktiv an Meldungen ohne Kontext.
Ansatz
Datenquellen konsolidieren, Use Cases priorisieren und entwickeln, Threat Hunting als festen Bestandteil etablieren.
Sammeln ist nicht erkennen
Ein SIEM, das alles aufnimmt, erzeugt Kosten und Rauschen. Ohne Normalisierung lassen sich Ereignisse aus verschiedenen Quellen nicht sinnvoll korrelieren und ohne priorisierte Use Cases entscheidet der Zufall, was auffällt.
Die erste Aufgabe bestand deshalb darin, die Quellen zu ordnen: welche gebraucht werden, welche fehlen und welche nur Volumen erzeugen.
Von den Quellen zur Jagd
In dieser Reihenfolge, weil jeder Schritt die Grundlage des nächsten ist.
Quellen konsolidieren
Bestandsaufnahme der angebundenen Systeme, Normalisierung auf ein gemeinsames Schema, Anreicherung mit Asset- und Identitätskontext.
Use Cases priorisieren
Nicht alles auf einmal. Priorisiert wurde entlang zweier Fragen: Welche Techniken sind für diese Umgebung realistisch? Was ist mit den vorhandenen Quellen überhaupt erkennbar?
Detektion entwickeln und messen
Regeln versioniert, gegen die Abdeckung gemessen und getunt. Was zu viele Fehlalarme erzeugte, wurde geschärft statt abgeschaltet.
Threat Hunting etablieren
Tägliche hypothesengetriebene Suche, deren Ergebnisse zurück in die Use Cases fließen. Damit wird aus der Erkennung ein Kreislauf statt eines Zustands.
Was sich messbar geändert hat
Die Zahl der Meldungen ging zurück, der Anteil der bearbeiteten stieg. Analysten arbeiteten nicht mehr überwiegend an der Abarbeitung von Warnungen, sondern an Hypothesen. Und die Abdeckung ließ sich erstmals beziffern statt behaupten.
Der wichtigste Effekt war organisatorisch: Use-Case-Entwicklung wurde zu einer eigenen, dauerhaften Aufgabe. Ohne sie fällt jedes Monitoring über die Jahre zurück.
Was Sie daraus mitnehmen können
Ein SIEM-Wechsel löst selten das Problem, das man ihm zuschreibt. In den meisten Fällen liegt die Ursache bei den Quellen und bei fehlender Use-Case-Arbeit und beides bleibt nach einem Plattformwechsel unverändert.
Wer die Abdeckung nicht misst, weiß nicht, was er erkennt. Eine Abbildung der Regeln auf ein Taktik- und Technikmodell ist der einfachste Weg, diese Frage beantwortbar zu machen.
Threat Hunting liefert die Rückkopplung, aus der neue Use Cases entstehen.
Passend zu dieser Fallstudie.
Ein ähnliches Vorhaben?
Referenzdetails nennen wir nach Freigabe und im persönlichen Gespräch.