SOCplus: mehr als ein Managed SOC

Bei dieser großen Zahl ist die Wahrscheinlichkeit hoch, dass Cyrebro eine Schnittstelle zu den Sicherheitsprodukten besitzt, die der Endkunde im Einsatz hat. Sollte noch keine Verbindung existieren, erstellt der Anbieter sie im Rahmen des Onboardings.

„In der Regel werden die Kollektoren virtuell bereitgestellt, damit die Systemhäuser sie einfach beim Endkunden implementieren können“, ergänzt Ederer. Einzige Voraussetzung für den Endkunden ist, dass er eine statische, öffentliche IP-Adresse hat.

2. Schritt: Daten aufbereiten

Die Kollektoren nehmen die Log-Daten entgegen und normalisieren sie. Bei Bedarf werden sie von Cyrebro gesammelt und zwischengespeichert, sollte der Endkunde kurzfristig offline sein.

Die Kollektoren schicken die per SSL-verschlüsselten Daten in ein SIEM in der IBM-Cloud, gehostet in Frankfurt am Main. An diesem Punkt kommt der größte Mehrwert von Cyrebro zum Tragen, wie Loos verspricht. Die Daten werden zu Clustern zusammengefasst, mit denen ein Data Lake gespeist wird.

3. Schritt: Daten analysieren

Bei der Analyse der Daten setzt die hauseigene Threat Intelligence an. Tatsächlich leitet sich der Name Cyrebro vom spanischen Wort „Cerebro“ ab, das Gehirn bedeutet. Die Technologie arbeitet automatisiert und gleicht die gesammelten Informationen mit bekannten Bedrohungsmustern ab. Dafür hat der Hersteller mehr als 1.000 Erkennungs-Algorithmen im Einsatz, die er mithilfe bisheriger Daten aus seinen Kundensystemen entwickelt hat.

Diese Analyse erfolgt automatisch auf Basis von Künstlicher Intelligenz (KI). Wird ein bisher nicht klassifizierter oder verdächtiger Vorgang entdeckt, kommt menschliches Knowhow ins Spiel. Darin liegt Loos zufolge eine weitere Besonderheit des Angebots: Echte SOC-Analysten bei Cyrebro prüfen den möglichen Incident auf seine Relevanz und geben den Vorfall inklusive einer Handlungsempfehlung über die Online-Plattform an den Partner weiter.

„Hier wird der Unterschied zwischen einem reinen SIEM und einem Managed SOC deutlich“, ergänzt Ederer. „Eine einfache SIEM-Lösung sammelt alle Events im Netzwerk und stellt sie mehr oder weniger schön aufbereitet zur Verfügung. Das war's. Bei diesem Managed SOC kommen Experten dazu, die suspekte Events bewerten und den nächsten Schritt empfehlen.“ Dadurch werden Partner gezielt über relevante Sicherheitsrisiken informiert.

Hat das Managed SOC einen Incident erkannt und die Analysten von Cyrebro haben den Alarm verifiziert, erscheint eine Warnmeldung in der Defcon-Konsole der Partner-Plattform. Dort steht eine Zusammenfassung zu jedem Incident bereit, zum Beispiel welche Systeme, User, Hosts und IP-Adressen betroffen sind. Der Systemhauspartner entscheidet selbst, ob er anhand der mitgelieferten Handlungsanweisungen in der Plattform die Incident Response selbst vornimmt oder auf die Hilfe von Cyrebro zurückgreift. Der Support erfolgt in diesem Fall ausschließlich in englischer Sprache.

Für Partner, die einen deutschsprachigen Support benötigen und besondere Zertifizierungsanforderungen haben, empfiehlt Infinigate alternativ die Leistungen von G Data Advanced Analytics. Über Infinigate ist dieser Support als Retainer-Modell je Endkunde buchbar. Die Experten übernehmen bei Bedarf die Ermittlungsleitung und kommen für zeitkritische Einsätze direkt vor Ort.

Tilman Frosch, Geschäftsführer bei G Data Advanced Analytics