Ein Security Operations Center ist das Team und die Funktion, die Sicherheitsalarme überwacht und Handeln abstimmt, während die Organisation arbeitet.
Es ist die besetzte Wache, die viele Werkzeuge nutzen kann, und es ist nicht selbst das Produkt, das nur Protokolle speichert und korreliert.
So funktioniert es
Analytiker sichten Alarme, fragen, ob ein Ereignis echt ist, und rufen den Vorfallablauf, wenn Schaden wahrscheinlich ist.
Sie stimmen auch laute Erkennungen ab und behalten Systeme im Blick, deren Ausfall das Geschäft nicht tragen kann.
Ein Center kann im Unternehmen sitzen oder per Vertrag gestellt werden.
In beiden Fällen braucht es Befugnis zur Eskalation, eine klare Übergabe an die Reaktionsleitung und genug Kontext, um eine Übung von einem echten Bruch zu unterscheiden.
Konkrete Beispiele
- Nachtanalytiker sehen eine Welle fehlgeschlagener Desktop Anmeldungen und eskalieren, bevor die Frühschicht kommt.
- Das Center öffnet eine Brücke mit der Anwendungseigentümerin, wenn ein Zahlungsdienst eine unbekannte Admin Anmeldung zeigt.
- Eine beauftragte Wache meldet nur zusammengefasste Gesundheit bis zu einem festgelegten Schweregrad und ruft dann die interne Leitung an.
Schutzmaßnahmen
- Geben Sie dem Center einen schriftlichen Eskalationsweg und die Befugnis, die Vorfallleitung zu wecken.
- Besetzen Sie die Stunden, die Sie abzudecken behaupten, und prüfen Sie, dass ein Alarm hoher Schwere einen Menschen erreicht.
- Trennen Sie die Überwachung von den Menschen, die riskante Produktivänderungen genehmigen, damit keine Rolle blind ist.
- Prüfen Sie die Alarmqualität monatlich und nehmen Sie Erkennungen außer Dienst, die Analytiker lehren, Lärm wegzuklicken.