Outsourcing SOC (Security Operation Center)

1. Umsetzung

SOC = SIEM (Protokollsammler) + SOAR (Automatisierung)

• Implementierung des SIEM-, SOAR-Systems,
• Anbindung aller Systemelemente an SIEM (Router, Firewalls, Switches, Server, Matrix) – Protokolle sammeln, Protokolle „analysieren“, Visualisierung im „Dashboard“,
• Implementierung externer Quellen (Feeds),
• Implementierung einer E-Mail-Benachrichtigung per SOAR für die gewünschte Vorfallkategorie,

• Implementierung einer Meldemaschine,
• Wir behalten das Format des „Post-Incident“-Berichts im Einklang mit den Richtlinien der polnischen Finanzaufsichtsbehörde bei:

Der Bericht nach dem Vorfall für schwerwiegende Vorfälle und Vorfälle mit hoher Priorität umfasst Folgendes:

• Eindeutige Ereigniskennung,
• Datum/Uhrzeit des Vorfalls,
• Datum/Uhrzeit der Vorfallerkennung
• Vorfalleigentümer (Prozess/Person),
• Beschreibung des Vorfalls,
• Ort (physisch/logisch) des Vorfalls,
• Ursache des Vorfalls,
• Vorbeugende/Korrekturmaßnahmen.

2. Wartung des SOC-Systems und Überwachung 24 Stunden am Tag :

1 SOC 24h Line : Überwachung der Geräte-/Dienstverfügbarkeit und Sicherheitsanalyse:

• Entgegennahme von Sicherheitsmeldungen von Benutzern rund um die Uhr: Telefon,
• Überwachung des Systemstatus rund um die Uhr: Anwendungen, Geräte, Dienste, Ressourcen, Hardwarestatus (SNMP) und Zertifikate,
• Überwachung der Aktivitäten von Benutzern/privilegierten Konten (Administrator, Root usw., Alarme in SIEM),
• Klassifizierung von Vorfällen und Meldungen (falsch positive Ablehnung),

• Reaktion auf Warnungen des SIEM-Systems (Erkennung schwerwiegender Vorfälle),
• Eskalation von Vorfällen zur 2. SOC-Linie (wenn Anzeichen eines schwerwiegenden Vorfalls festgestellt wurden).

2 SOC-Linie : Sicherheitsingenieure:

• detaillierte Analyse, Situationserkennung und Vorfallbehandlung,

• Sicherung und Sammlung von Beweismitteln (Protokolle, die den Vorfall belegen, Einbruchsspuren usw.),
• „Post-Incident“-Analyse (Bericht nach Abschluss der Bearbeitung eines schwerwiegenden Vorfalls),
• Bedrohungen minimieren und Korrekturmaßnahmen empfehlen,
• Eskalation des Vorfalls an 3 SOC-Linien im Falle fortgeschrittener oder andauernder Vorfälle,
• Berichterstattung.

3 SOC-Linie : Sicherheitsexperten:

• erweiterte Vorfallanalyse,
• erweiterte Malware-Analyse,
• Den Angreifer ins Visier nehmen und verfolgen (bei unerwünschter Aktivität),

• Sammeln und Sichern von Spuren gemäß den Praktiken der Computerforensik.