Wie funktioniert ein Security Operations Center (SOC)?

Analyse von Mensch und Maschine

Denn es musste schnell gehen. Die SOAR-Plattform (Security Orchestration, Automation and Response) hatte ungewöhnliche Zugriffe von Benutzern auf interne Server und auf Internetadressen gemeldet. Der diensthabende Security Analyst hatte daraufhin den Alert über die SOAR-Plattform zu einem Incident eskaliert und für eine vertiefte Analyse an seine Kollegin aus dem Incident Response Layer weitergeleitet.

«Unsere zentrale SOAR-Plattform hilft uns, Alerts aus verschiedenen Detektionssystemen mittels automatisierter Analyse-Workflows mit weiteren Informationen anzureichern, falsche Alarme auszufiltern und so ernsthafte Vorfälle schnell zu erkennen», sagt dazu Florian Leibenzeder, technischer Leiter im SOC von Swisscom. In diesem Fall hatte die erste Analyse einen «True Positive» ergeben, also einen echten Sicherheitsvorfall. Das hatte eine Eskalation zur Folge.

Was nun die erfahrene Security-Analystin bei der vertieften Analyse sah, gefiel ihr gar nicht. Denn gleich drei Notebooks zeigten dasselbe verdächtige Verhalten. Einer der Benutzer hatte sich bei der Cyberdefense-Hotline gemeldet, weil ihm ein Dokument, das er erhalten hatte, beim Öffnen seltsam vorkam.

Die telefonische Rückfrage ergab, dass dieser Benutzer von einem angeblichen potenziellen Lieferanten über eine Filesharing-Plattform eine «Offerte» erhalten hatte. Diesem Schritt war bereits ein Mailaustausch vorhergegangen, so dass die Person zunächst keinen Verdacht schöpfte und das Dokument öffnete. Und damit eine raffinierte, neuartige Malware ausführte. Weil für den Angriff zudem eine bekannte Filesharing-Plattform missbraucht wurde, konnten die Cyberkriminellen die Erkennungsmechanismen der EDR-Lösung (Endpoint Detection & Response) umgehen. Ein solch raffinierter und sehr gezielter Angriff fordert die Security-Spezialisten in der Abwehr.

Vom SOC zum CSIRT

Nun ist menschliche Expertise gefragt, diejenige der erfahrenen Incident Responder des CSIRT, die gerade im Operations Squad im Dienst sind. Trotzdem herrscht Ruhe. Konzentriert sitzen die Experten vor ihren Bildschirmen. Mittlerweile ist es gelungen, die Malware zu isolieren und den Angriff einzudämmen – das «Containment» wie diese Phase der Incident Response genannt wird. Geprägt hat das Standardvorgehen das auf Cybersecurity-Weiterbildungen spezialisierte SANS Institute(öffnet ein neues Fenster). Der «Incident Response Cycle» teilt die Abwehr auf sechs Schritte auf, von der Vorbereitung bis zu «Lessons Learned», bei dem die Erfahrungen und Erkenntnisse aus der Behandlung des Security Incidents ausgewertet und Verbesserungsmassnahmen abgeleitet werden. «Diese Standardisierung hilft, in solchen Fällen den Überblick zu bewahren und nicht in Hektik zu verfallen», sagt Stephan Rickauer, der bei Swisscom den CSIRT-Service für Geschäftskunden leitet.

Zur Eindämmung hatte das CSIRT die drei betroffenen Benutzerkonten gesperrt und die Notebooks vom Netz getrennt, um der Malware die Ausbreitung im Firmennetz zu erschweren. Doch damit allein können die Fachleute noch nicht sicherstellen, dass sich der Angreifer nicht mehr im Netz befindet. Sie priorisieren nach kurzer Beratung als nächsten Schritt die Suche nach allfälligen weiteren Spuren des Angriffs, den Indicators of Compromise (IoC). Die Fachleute wollen sichergehen, dass sich die Cyberkriminellen nicht noch auf einem anderen System verbergen oder sonstigen Schaden angerichtet haben. Jetzt ist ihr Expertenwissen gefragt.

Die Security-Routiniers führen die Arbeit des SOAR-Systems fort und untersuchen die Infrastruktur manuell auf weitere Einbruchspuren. Das breite Fachwissen und die langjährige Erfahrung helfen bei der strukturierten Untersuchung. Einer der Experten durchsucht die zahlreichen Logdateien nach verdächtigen Logins und Aktivitäten der Malware, während ein anderer den Netzwerkverkehr nach möglichen Zugriffen auf einen Command&Control-Server untersucht. Diese Aktivitäten helfen den Experten, allfällige gut versteckte Malware-Dateien, Netzwerk-Anomalien und Registry-Einträge zu finden.

Von der Eindämmung zur Nachbearbeitung

Kurz darauf geben die Security-Experten Entwarnung. Es sind keine weiteren Alerts auf der SOAR-Plattform aufgetaucht, und die Zugriffsversuche auf die Server waren erfolglos. Der Incident wird heruntergestuft, und die involvierten Personen planen die Auswertung ihres Einsatzes im Rahmen des «Lessons Learned»-Schritts.

«Nur durch eine fortschreitende Automatisierung und die Vereinheitlichung von Tools können wir mit der steigenden Komplexität unserer Infrastrukturen und den Angriffen darauf Schritt halten.»

Florian Leibenzeder, technischer Leiter Swisscom SOC

Wie planen die Fachleute im CSIRT eine Arbeit, die von externen Ereignissen bestimmt wird, sich an keine Tageszeiten hält und somit eigentlich unplanbar ist? «Die Kritikalität eines Ereignisses entscheidet oft über die Priorisierung, das ist das wichtigste Kriterium», erklärt Stephan Rickauer.

Deshalb verschieben die Security-Analysten die Aufgabe auf später, die Geräte forensisch zu untersuchen. Diese Untersuchung hilft, das Vorgehen der Angreifer besser zu verstehen, also die Techniken, Taktiken und Vorgehensweisen (TTP) zu erkennen. Dieser Schritt hat jedoch eine tiefe Dringlichkeit, weil von den Notebooks keine Gefahr mehr ausgeht.

Von der Analyse zur Automatisierung

Die forensische Analyse wird in die Auswertung des Sicherheitsvorfalls einfliessen. Die Security-Fachleute werden nicht nur besprechen, was gut gelaufen ist und wo Verbesserungspotential besteht. Aufgrund der Analyse des Vorfalls werden sie einen neuen «Detection Use Case» entwickeln. Hierbei handelt es sich um eine schematische Abbildung des Angriffsmusters – beispielsweise, welche Logeinträge auf welchen Systemen auf eine derartige Attacke hinweisen.

«Unser Ziel bei der Entwicklung von Use Cases ist, die erste Analyse, die Triage und allenfalls die Reaktion zu automatisieren. Dabei helfen uns die mächtigen EDR-Funktionen auf den Arbeitsplatzgeräten und Servern und die SOAR-Workflows für die Automatisierung von Analyse und Response. Nur durch eine fortschreitende Automatisierung und die Vereinheitlichung von Tools können wir mit der steigenden Komplexität unserer Infrastrukturen und den Angriffen darauf Schritt halten », sagt Florian Leibenzeder. Für eine moderne Cyberdefense sind SOC und CSIRT mit Tools zur Automatisierung unverzichtbar.

Damit kann das SOC bei einem nächsten Angriff dieser Art automatisiert reagieren. Das CSIRT kommt dann wahrscheinlich gar nicht zum Einsatz, weil der Angriff schon bei der Incident Response in einer früheren Stufe gestoppt wird. «Der Reiz an der Arbeit im CSIRT liegt in den vielfältigen Aufgaben. Wir erledigen nicht gerne zwei Mal dasselbe», sagt Stephan Rickauer lachend.

Der hier geschilderte Angriff ist fiktiv und soll beispielhaft die Arbeitsweise von SOC und CSIRT aufzeigen.