Security
Sicherheit aus neuer Perspektive – Teil 4
Security Operation Center im Einsatz
02. November 2005
Die wachsende Zahl sicherheitsrelevanter Meldungen und Logfiles in einer Organisation und der Zwang, notfalls schnell reagieren zu müssen, legen den Aufbau eines zentralen Sicherheitsleitstands mit angegliedertem Projektmanagement-Team nahe.
|
|
(zoom) Überblick über den Workflow im Security Operation Center
Ein Sicherheitsleitstand oder „Security Operation Center“ (SOC) verarbeitet die sicherheitsrelevanten Meldungen und Vorkommnisse („Events“) in einer Organisation zentral und korreliert sie, um die richtigen Reaktionen zu veranlassen. Die Funktion ähnelt der der Leitstelle eines Rettungsdienstes, dessen Aufgaben von der Entgegennahme der Notrufe über das Heranführen der zuständigen Spezialkräfte bis zur Koordinierung mit anderen Dienststellen reichen. So lässt sich für einen Sicherheitsleitstand folgendes Aufgabenprofil festlegen:
Sammeln der Security-Events aus diversen Quellen,
Korrelieren und Priorisieren der Events,
Kategorisieren und Auswahl geeigneter Abwehrmaßnahmen,
Information der beteiligten Abteilungen und Heranführung des zuständigen Eingreifpersonals, wobei die Infrastrukturpläne des logischen und physikalischen Netzes herangezogen werden müssen,
Einschalten von Cyber Emergency Response Teams (CERTs) und IT-Forensikern bei Anzeichen von kriminellen Aktivitäten, Vandalismus oder bewusster Schädigung,
Verwaltung von Informationen über besondere Betriebszustände wie etwa Wartungsintervalle,
Notfallübungen durchführen,
Security-Policies und Prozeduren erarbeiten und einführen und
Response-Zeiten bei Vorfällen messen und optimieren.
Wie die Mitarbeiter einer Rettungsleitstelle, die bei einem Unfall nicht vor Ort tätig werden, übernehmen die Angehörigen eines SOCs keine Reparatur-, Installations-, Wartungs- oder Pflegeaufgaben direkt am betroffenen Objekt – es sei denn, der Vorfall ist so schwerwiegend, dass daraus Folgen für die gesamte Arbeit des Centers oder geschädigten Organisation erwachsen.
Die Mitarbeiter eines Sicherheitsleitstands müssen selbst über umfassendes und tiefgreifendes Security-Know-how verfügen, und sie müssen Zugriff auf angegliederte Spezialkräfte haben, die auf die denkbaren Vorfälle in der überwachten Organisation angemessen reagieren können.
Teams oder Spezialisten folgender Fachgebiete müssen deshalb ein SOC ergänzen:
Security Emergency Response Teams (CERT oder SERT),