Perfekte Cyber-Defence-Symphonie: SOC und Security-Disziplinen im Einklang

Die Laubhaufen AG, ein fiktives Beispielunternehmen, ist mit ihren Führungsigeln seit Jahren erfolgreich unterwegs und dürfte regelmässigen InfoGuard Blog-Lesenden bereits ein Begriff sein. In der Folge wird die Laubhaufen AG kurz als «Laubhaufen» bezeichnet.

Das Kerngeschäft der Laubhaufen ist die Produktion von mobilen Fertig-Laubhaufen und Igelhäusern für den modernen Igel. Der Winterschlaf wird durch die GPS-unterstützte Standortwahl (trocken und schattig) optimal unterstützt. Weiter bieten die Behausungen der Laubhaufen Schutz gegen die wenigen Fressfeinde wie beispielsweise dem Dachs.

Die Laubhaufen zeigt Stacheln

Vor einem Jahr beschloss das Team der Führungsigel, sich dem Security Operations Center (SOC) der InfoGuard anzuschliessen. Die treibenden Kräfte zu diesem Entscheid waren Frau Stoppel (IT-Architektin) zusammen mit Herrn Reisig (CISO). Schliesslich genehmigte Frau Stachelig (CEO) das Vorhaben. Seither werden die Server und Clients der Laubhaufen rund um die Uhr 24/7 überwacht und es haben sich in diesem Jahr keine relevanten Sicherheitsvorfälle ereignet.

Wenn Herr Reisig auf IT-Sicherheitsthemen zu sprechen kam, lautete der Kommentar in der Regel: «Wir haben jetzt das SOC, da können wir auf diese Massnahme verzichten». Oder: «Das SOC kostet uns schon genug». Diese Situation war für den CISO nicht befriedigend.

In der Laubhaufen werden IT-Sicherheitsaufgaben als «IT-Sicherheitsdisziplin» bezeichnet. Dieser Artikel verwendet daher ausschliesslich diesen Begriff. Eine IT-Sicherheitsdisziplin beschreibt und definiert die IT der Laubhaufen aus der Sicherheitsperspektive.

Der CISO und sein Plan für eine integrierte Cyber Defence

Der CISO wollte aufzeigen, dass die IT-Sicherheitsdisziplinen und das SOC gegenseitige Abhängigkeiten aufweisen. Deshalb war er der Meinung, dass beide Komponenten als gemeinsam zu betreibende und weiter entwickelnde Einheit betrachtet werden sollten. Bliebe dieser Umstand unbeachtet, könnte es für die Laubhaufen bedrohlich werden. Dies wollten die IT-Architektin und der CISO erklären. Wie gewohnt, setzten sich der CISO und die IT-Architektin zusammen. Diesmal, um eine schlüssige Argumentationskette für das nächste Meeting der Führungsigel aufzuzeigen.

Auslegeordnung: Sichtung der IT-Sicherheitsdisziplinen

Die beiden trafen sich im Besprechungszimmer «Happy Winterschlaf» zu einem Brainstorming, um die IT-Sicherheitsdisziplinen zu sichten und zu ordnen.

Das Ergebnis war das folgende Slide mit den IT-Sicherheitsdisziplinen der Laubhaufen:

Abbildung 1: IT-Sicherheitsdisziplinen repräsentieren die IT-Landschaft

Herr Reisig war froh, dass sie eine ganze Reihe an IT-Sicherheitsdisziplinen identifiziert hatten. Diese repräsentieren die IT-Landschaft der Laubhaufen in ihrer Gesamtheit.

Trotzdem sah er etwas fragend drein. «Wie weiter mit unserer Story? Wie können wir das der CEO verständlich erklären?» «Lass uns morgen weitersehen, ich gehe jetzt zum Igel-Fitness», meinte Frau Stoppel. Und weg war sie.

Setzen Sie sich mit uns zusammen. Wir begleiten Sie beim strukturierten Aufbau eines eigenen SOC oder sichern Ihre 360°-Cyberabwehr mit unserem 24/7 compliance-applied Managed SOC-Service. Nutzen Sie die Expertise unseres ISO 27001-zertifizierten Cyber Defence Center (CDC) für eine compliance-applied Cyberabwehr.

SOC als Schaltzentrale: Input, Output und die Dynamik der IT-Sicherheitsdisziplinen

Am nächsten Tag ergänzte Frau Stoppel die IT-Sicherheitsdisziplinen mit Erläuterungen (s. Tabelle 1) und dem Hinweis, ob eine IT-Sicherheitsdisziplin Input an das SOC liefert bzw. das SOC Output für die IT-Sicherheitsdisziplin generiert.

Herr Reisig war erfreut, was dabei herauskam. «Das sind ja viele Beziehungen zwischen den IT-Sicherheitsdisziplinen und dem SOC, und zwar beidseitig», sinnierte er. Das lässt sich gut erklären und besprechen...

Tabelle 1: IT-Sicherheitsdisziplinen und SOC

[1] Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnung (EU).

Dynamisches Umfeld

Frau Stoppel wies darauf hin, dass sich die IT-Landschaft der Laubhaufen stetig ändert. Dies beeinflusst die IT-Sicherheitsdisziplinen, da sie, wie erwähnt, die IT-Landschaft abbilden. Herr Reisig schlug vor, die Dynamik der IT-Sicherheitsdisziplinen tabellarisch aufzuzeigen. Gesagt, getan:

Tabelle 2: Dynamik der IT-Sicherheitsdisziplinen

Der Kreislauf von SOC und IT: The Big Picture

Frau Stoppel suchte eine Illustration, die den folgenden Prozess illustrieren sollte:

• Die Ergebnisse aus dem SOC-Monitoring und der darauf basierenden Aktionen fliessen in die IT-Landschaft ein.
• Die gegenseitige Rückkoppelung zwischen den IT-Sicherheitsdisziplinen und dem SOC.

Weil dies eine «unendliche Geschichte» ist, stellte die IT-Architektin den Sachverhalt als Kreis dar. Zufrieden blickte sie auf die Illustration. Es zeigt, dass IT-Sicherheitsdisziplinen und SOC zwei Ausprägungen der gleichen Sache sind: Die Aufrechterhaltung der IT-Sicherheit bei der Laubhaufen.

Abbildung 2: Rückkoppelung zwischen der IT-Landschaft und dem SOC

Rückkoppelung zwischen IT und SOC: Insights und Massnahmen zur Behebung blinder Flecken 

Was geschieht, wenn die Rückkoppelung zwischen den IT-Sicherheitsdisziplinen und dem SOC nicht oder unvollständig implementiert ist? Und wie wirkt sich das auf die IT-Landschaft aus, die durch die Disziplinen abgebildet wird?

Frau Stoppel wollte den Sachverhalt mit ein paar Beispielen am Meeting der Führungsigel untermauern.

Insight 1: Wie Informationen aus den IT-Sicherheitsdisziplinen das SOC unterstützen

Die Laubhaufen hat sich eine neue Anwendung für die Fertigungskontrolle der Laubhaufen beschafft. Jeder Laubhaufen wird mit einem Qualitäts-Zertifikat über die Einhaltung der Industriestandards versehen.

Nach Einführung der Anwendung erkennt das SOC durch die Scans den neuen Server, verfügt jedoch nur über unvollständige Informationen zur neuen Anwendung. Die nachstehende Aufstellung zeigt die Informationen aus den IT-Sicherheitsdisziplinen, die das SOC zur Aufgabenerfüllung benötigt:

Tabelle 3: Beispiel für den aus IT-Sicherheitsdisziplinen abgeleiteten Schutzbedarf durch das SOC.

Sind diese Informationen dem SOC nicht bekannt, wird der für IT-Systeme und Komponenten der Laubhaufen vorgesehene Basisschutz angewandt. Dieser Schutz reicht jedoch für kritische Systeme nicht aus.

Insight 2: Erkenntnisse aus dem SOC als Input für die IT-Sicherheitsdisziplinen

Das SOC stellt fest, dass der Laptop von Herrn Kugel (Produktmanager) seit einem halben Jahr nicht mit Updates versehen wurde. Es fliessen die nachstehenden Informationen aus dem SOC zum Betrieb:

Tabelle 4: Beispiel-Informationen aus dem SOC an die IT-Sicherheitsdisziplinen

Weiter stellte das SOC fest, das sich Herr Kugel mitten in der Nacht von einem unüblichen Ort remote in die Laubhaufen einwählen wollte. Auch hier fliessen Informationen vom SOC zum Betrieb und zum CISO:

Tabelle 5: Beispiel Information aus dem SOC an die IT-Sicherheitsdisziplinen

Fehlt das Feedback vom SOC an die IT-Sicherheitsdisziplinen oder an den Betrieb, laufen die Erkenntnisse aus dem SOC ins Leere.

Ein endloses Muster: gefährliche Lücken zwischen SOC und IT-Sicherheitsdisziplinen

In den beschriebenen Szenarien laufen sowohl das SOC und die durch die IT-Sicherheitsdisziplinen repräsentierte IT-Landschaft auseinander. Je länger dieser Zustand andauert, um so grösser werden die blinden Flecken.

Aus der nachstehenden Abbildung ist ersichtlich, dass sich links und rechts Lücken auftun:

Abbildung 3: Unvollständige Abdeckung IT-Landschaft und SOC

Diese Lücken sind ohne Übertreibung brandgefährlich. Jeder Hacker weiss diese zu schätzen, um ungestört der schädlichen Tätigkeit nachzugehen.

Konklusion oder «Die Notwendigkeit einer ganzheitlichen Strategie»

Der CISO hatte nun alle Informationen beisammen, um eine adressatengerechte Präsentation für das Meeting der Führungsigel zu erstellen. Im abschliessenden Slide fasste er die Erkenntnis der Betrachtungen zusammen:

• Die IT-Sicherheitslandschaft, die sowohl durch die IT-Sicherheitsdisziplinen als auch das SOC bzw. dessen Konfiguration abgebildet wird, steht in Wechselwirkung. Änderungen sind beidseitig nachzuführen.
• Werden IT-Sicherheitsdisziplinen und SOC als getrennte Elemente behandelt, entstehen blinde Flecken, die für Angriffe ausgenutzt werden können. Die blinden Flecken werden mit der Zeit grösser und damit gefährlicher.

Fazit: Aus diesem Grunde sollte die Laubhaufen weiterhin in die IT-Sicherheitsdisziplinen und ins SOC investieren und den wechselseitigen Informationsfluss sicherstellen. Damit stellt die Laubhaufen sicher, dass die investierten Mittel den optimalen Nutzen generieren.

Wie unterstützt InfoGuard Ihr Unternehmen bei der Umsetzung konkret?

InfoGuard unterstützt Unternehmen mit dem Betrieb eines Managed SOC unter dem Einsatz von dedizierten Business & Compliance-Usecases, damit Sie 360° sicher und compliance-applied agieren können.

Darunter fallen folgende Service-Komponenten:

• Sicherstellen oder Definieren wechselseitiger Informationsflüsse zwischen SOC und IT-Sicherheitsdisziplinen.
• Erstellen von Migrationsszenarien in ein SOC.
• Bewerten und verbessern einer bestehenden SOC-Integration.
• Erarbeiten und bewerten einer branchenkonformen IT-Sicherheitsarchitektur.

Wir begleiten Sie bei der Umsetzung eines 24/7 compliance-applied Managed SOC mit den Services unseres ISO 27001-zertifizierten Cyber Defence Center (CDC) und beraten Sie ebenfalls gerne rund um Themen zu Risk Management & Compliance.

Bildlegende: eigenes Bildarchiv