Datenzentrische Betrachtung von SOC/CERT Strukturen

Durch Security Operations Center (SOC) sollen Security-Incidents überwacht, erkannt, analysiert und behoben werden. Doch oftmals fehlt es den Betriebsteams an ausreichender Visibilität für die erfolgreiche Erbringung dieser Aufgaben. Dies ist unserer Erfahrung nach selten das Problem der zentralen Plattformen wie SIEM oder XDR, sondern liegt daran, dass innerhalb der Anforderungsanalyse die Datenstruktur der Organisation nicht genug betrachtet wurde. Organisationen müssen sich also die Frage stellen, welche Sensoren von Relevanz sind. Hierunter fallen typische Daten wie Endpoint und Netzwerktelemetrie, aber auch immer häufiger Daten aus beispielsweise IoT oder gar 5G Technologien. Wir möchten in diesem Vortrag aufzeigen, wieso nur eine datenzentrische Anforderungsanalyse, gepaart mit einer Threat Intelligence Analyse, zu einer erfolgreichen Umsetzung von zentralen Maßnahmen im SOC führen kann. Wie können Organisationen die richtigen Daten finden und wieso bedarf es in vielen Fällen einen massiven Betriebsaufwand für die Aufbereitung dieser Daten bevor eine relevante Sicherheitsanalyse durch das SOC-Team überhaupt möglich ist? Wir gehen außerdem auf die Frage ein, mit welchen Daten beim SOC Aufbau begonnen werden sollte, so dass Mehrwerte schnell sichtbar und Investitionen durch Messbarkeit dieser möglichst schnell gesichert werden können.