CSOC – Rückblick auf das erste Jahr

Interview: Andreas Lau, synalis, und Markus Müller, dhpg

Was ist das Cyber Security Operations Center und wie funktioniert es?

Lau: Das Cyber Security Operations Center ist ein IT-Service für den Mittelstand und dient der Aufdeckung von Hackerangriffen und Cyberattacken. Häufig werden wir gefragt, ob Firewall und Virenschutz zur Abwehr nicht ausreichen bzw. ob man beim Einsatz des CSOC nicht umgekehrt hierauf verzichten könnte. Die Antwort lautet ganz klar: Nein. Man kann sich das CSOC wie einen Wachdienst vorstellen, der ständig über das Gelände geht und seine Augen offen hält. Neben der Firewall, die Angreifer im besten Fall am Werkstor erkennt, löst das CSOC den Alarm genau dann aus, wenn ein ungebetener Gast die traditionellen Schutzmechanismen bereits überwunden hat. Somit stellt das CSOC eine wichtige Ergänzung dar, denn Eindringlinge schaffen es regelmäßig ins System. Unsere Idee ist der organisierte Zusammenschluss mit dem Ziel der Hackerabwehr. CSOC-Mitglieder profitieren vom gemeinsamen Austausch und von Schutzmaßnahmen im sogenannten Hub.

Welchen Herausforderungen mussten Sie sich im ersten CSOC-Jahr stellen?

Müller: Da gab es tatsächlich einige: Angefangen von inzwischen gängigen Phishing-Mails bis hin zu großen Trojanern wie z.B. Emotet. Täglich gibt es neue Berichte über Angriffe. Während Ransomware weniger häufig detektiert wird, steigen Angriffe durch Kryptomining und Phishing-Mails. Deshalb ist es enorm wichtig, hier immer auf dem Laufenden zu sein und das Wissen, das wir zusammentragen, mit dem Hub zu teilen. Wir konnten für uns als Erfolg verbuchen, dass die sogenannte Dwell Time, also die Zeit zwischen dem erfolgten Angriff und dessen Detektion, spürbar abnimmt. Künftig ist es unsere Aufgabe, auf bestehende und kommende Trends zu reagieren und den Service unseres Cyber Security Operations Centers weiter auszubauen.

Was erwartet die Hub-Mitglieder künftig?

Lau: Neben der Anbindung von weiteren Datenquellen wird bei der Auswertung der Daten vermehrt künstliche Intelligenz zum Einsatz kommen. Hierdurch sollen Fehlalarme reduziert und schnellere Analysen erstellt werden. Im Sommer dieses Jahres möchten wir ein auf die Wünsche unserer Mitglieder angepasstes Kundendashboard mit Live-Daten zur Verfügung stellen. Im nächsten Schritt planen wir zudem einen Rund-um-die-Uhr-Service sowie eine neue Systemumgebung. Letztere wird es uns ermöglichen, weitere Dienste zu überwachen. Aktuell haben wir lediglich den Netzwerktraffic im Blick. Künftig wird unser CSOC aber auch weitere Protokolldateien, etwa von Betriebssystemen, überwachen können.