SOC - SECURITY OPERATIONS CENTER

ANLX sammelt ausschließlich Log-Daten Ihrer Komponenten. Diese werden automatisiert an unser SOC übertragen, nachbearbeitet, durch Informationen wie Securityfeeds angereichert und ausgewertet.

Das SOC von Antares-NetlogiX ist in Amstetten und unterliegt damit den europäischen Datenschutzgesetzen.

Das Ziel des SOC ist es, proaktiv Schwachstellen zu erkennen und gemeinsam mit den IT-Ansprechpartnern der Unternehmen zu beseitigen, bevor es zu einem schädlichen Angriff kommt. Reaktiv arbeitet ein SOC bei administrativen Tätigkeiten mit. Im Falle einer Ransomware-Attacke liefert das SOC zudem die Daten für eine forensische Analyse. Zusätzlich unterstützt ein SOC bei Berichts- und Compliance-Anforderungen. Ganz wichtig ist außerdem die Anomalie-Erkennung, um den aktuellen Stand mit einem Normalzustand zu vergleichen.

Für eine lückenlose Überwachung müssen möglichst alle IT-Systeme und Komponenten so konfiguriert werden, dass sie Log-Daten liefern. Besonders wichtig sind hier Server, Netzwerkkomponenten, Security- und Firewall-Komponenten und Clients. Bei Netzwerkkomponenten geschieht das z. B. über das Syslog-Protokoll, bei Servern per Agents. Um Angriffe auch in der Tiefe feststellen zu können, ist eine Endpoint-Detection-and-Response-Lösung zudem eine sinnvolle Ergänzung.

Besonders große Unternehmen mit komplexer IT-Infrastruktur profitieren von einem SOC und der damit einhergehenden Übersichtlichkeit. Ein SOC ist inzwischen aber für jedes Unternehmen sinnvoll, das für seine Arbeit auf eine funktionierende und erreichbare IT angewiesen ist.

Der Kunde muss sich darüber im Klaren sein, dass auf seiner Seite weiterhin eine aktive Mitarbeit erforderlich ist! Er muss u. a. den Rollout der Agents und des Sysmon-Templates vornehmen, die Netzwerkkomponenten richtig konfigurieren und eine Inventarliste bereitstellen über die Assets, die im SOC-Service überwacht werden sollen.

Das ist abhängig von Kundenwünschen und -möglichkeiten. Ohne z. B. eine 24x7-Bereitschaft der IT-Mannschaft auf Kundenseite kann das externe SOC niemand für Alarme erreichen. Das führt nicht zum Ziel.

Die Dauer eines Rollouts ist von der Kundeninfrastruktur abhängig. Der Basis-Rollout ist oft innerhalb weniger Tage erledigt, sofern die Agents auf Kundenseite entsprechend ausgerollt sind. ANLX stellt seine SOC-Plattform im redundanten Rechenzentrum in Wien bereit und gibt dem Kunden eine virtuelle Log-Appliance frei, die dann in der Umgebung installiert wird. Dann folgt die Bereitstellung der Agents, der Sysmon-Templates für die Prozess- und Registry-Überwachung. Nach einem Pilot-Rollout sind eventuell nochmals Anpassungen erforderlich. Im Anschluss erfolgt nur noch die Konfiguration der Zentralkomponenten und das Filtern nach False-Positives. Der erste Report ist nach rund einem Monat verfügbar, die Anomalie-Erkennung greift normalerweise nach etwa zwei Monaten.

Im Ernstfall unterstützt das SOC den Notfall-Manager bei der Koordination und die technischen Kollegen bei der Analyse, der Eindämmung und beim Wiederaufbau.

Hier sind kaum Grenzen gesetzt. Einige wichtige Beispiele sind Microsoft 365-Produkte, EDR-Lösungen wie Crowdstrike oder MS Defender, Security Network Devices wie Firewalls und Proxys, Network Devices, Syslog Devices und alle anderen Devices, die Security-relevante Daten liefern.