Security Operations Center (SOC)

Was macht ein Security Operations Center?

Das übergeordnete Ziel eines SOC ist es, 保护组织信息技术基础设施免遭网络攻击. 大体上，你可以把工作分成三个领域:

• Überwachung und Berohungserkennung一种典型的SOC处理着一系列安全警告方案, 包括广播工具报导潜在威胁，以及工作人员的信息, Partner und aus externen Quellen. 许多现代社会组织都使用siemm系统进行系统收集与管理Alerts.
• Untersuchung und Validierung长官，被泄露的消息会受到特种部队的调查, um sicherzustellen, 因为这个报道不是假阳性的。. h. eine gemeldete Bedrohung, die tatsächlich harmlos ist).
• Abwehr这将需要验证安全事件并做出反应, 把案移交给所有能适用的人或队, um Gegenmaßnahmen zu ergreifen.

执行的SOC需要复杂的技术，工艺，流程和技术相结合. 这就是为什么并非所有公司都能支持或支持SOC. Viele entschließen sich daher, 建议一个外部伙伴(乘客保护服务供应商或MSSP)负责他们的SOC的管理. In diesem Fall spricht man auch von einem Managed SOC.

Warum ist ein SOC so wichtig?

Hackerangriffe werden immer komplexer und raffinierter, und ihre Abwehr erfordert ein erhebliches Maß an Expertise. 作战时，它是他们首也是最重要的防火墙. 预防措施就在此执行, potentielle Bedrohungen identifiziert, 对攻击进行确认和击退. 在遭遇袭击时，SOC能做到迅速而有效的回应，并将资产损失和公司形象最小化. 此外，它可以大大有助于执行合规指引.

Wie funktioniert ein SOC?

我是为了保证安全行动中心的效率, 必须有一组辅助组件.

Die erste Komponente ist eine solide Verwaltung der Angriffsfläche为了使潜在的入侵者尽可能少. Diese beinhaltet:

• Asset-Management
• Regelmäßige Schwachstellen-Scans 
• Patch-Management
• Anwendungssicherheitstests (auch im Zusammenhang mit dem Patchen)
• Bedrohungserkennung
• Penetrationstests
• Benutzerauthentifizierung und Autorisierung
• Zugriffsverwaltung.

Als nächstes ist ein Incident Response Plan erforderlich. 关键的问题之一是能有效识别企业it环境中的威胁. 当发现安全事件时缺乏应对措施, die zudem regelmäßig getestet werden, haben Sie nicht wirklich ein effektives Incident Detection and Response-Programms.

Zuletzt ist es auch wichtig, einen Disaster-Recovery-Plan vorbereitet zu haben. Ein solcher Plan sorgt dafür, dass Sie nach Erkennung, 能够恢复自身运营过程的有效实施和根除.

Aufbau eines SOC: Erste Schritte

由于安全操作中心本身就极为复杂，该机构需要考虑很多因素. Unabhängig davon, ob es intern aufgebaut oder als Managed SOC ausgelagert wird, 若chink的成功，它对三个要素的准备是关键的:

• Mitarbeiter作为第一步，我们需要定义体育分析师的角色和职责. 你参与的团队和你赋予的任务, 取决于你公司的现有结构. Wenn Sie beispielsweise ein SOC aufbauen, 来增强相关探察和部门管理方面的现有能力, sollten Sie prüfen, 它有哪些职责，哪些属于其他团队。.B. Incident Response). 我们还建议在社会组织各分析师之间分担责任. Insbesondere muss Klarheit bestehen, wer hochkritische Alerts bearbeitet, wer weniger kritische validiert, wer Alerts eskaliert, wer Threat Hunting betreibt usw.
• Technologie: Für die Entscheidung, welche Technologie das SOC verwenden soll, 在分配上述角色和任务时所花的时间，将会得到回报. Welche Technologie werden sie nutzen? Wahrscheinlich müssen sie Tools für Log-Management, Nutzerverhaltensanalyse, Endpunktabfrage, Suchvorgänge in Echtzeit etc. mithilfe einer SIEM-Lösung kombinieren. Es ist wichtig, zu prüfen, wie SOC-Analysten Ihre Tools nutzen und bestimmen, 现有的技术是否在促进或阻碍soc进程，以及是否应该替代新的工具. Darüber hinaus ist es wichtig, über Kommunikationsmittel zu verfügen, mit denen die Analysten zusammenarbeiten können.
• Prozesse: Die Festlegung der Prozesse, 最重要的一步就是按照上述的人和技术进行操作, ist die letzte Komponente, 你需要在执行chink执行时考虑的条款. Was passiert, wenn ein Sicherheitsvorfall validiert, gemeldet, eskaliert oder an ein anderes Team weitergegeben werden muss? Wie sammeln und analysieren Sie Metriken? Diese Prozesse müssen präzise genug sein, um sicherzustellen, 然后，深入地进行调查, aber mit ausreichender Flexibilität, um nicht in festgefahrene Analyseprozesse zu verfallen. 处理策略能做到哪一点. Von daher lohnt sich der Aufwand, es richtig zu machen.

以上项目也适用于同soc第三方供应商的合作. 竞争对手是值得信任的工商合作伙伴，因此关键是这一点, dass er in seinen Mitteilungen, seiner Transparenz, 是有活力、可靠的反馈与合作的反馈, um sicherzustellen, dass Ihr SOC so erfolgreich und effektiv wie möglich ist.

Erfahren Sie mehr über die SOC-Strategie

SOC: Aktuelles aus dem Rapid7 Blog