Die entscheidende Rolle des SOC-Analysten: Menschliche Expertise in der IT-Sicherheit

Vieles in der IT-Security ist automatisiert und deshalb auch vermeintlich besser und sicherer. Innerhalb eines Security Operations Center (SOC) ist jedoch genau die menschliche Komponente entscheidend, wenn es um einen Sicherheitsvorfall geht. Ein SOC-Analyst ist unverzichtbar und oftmals das «Zünglein an der Waage», wenn es um den Erfolg oder Misserfolg in der Erkennung eines Cyber-Angriffs geht.

Aufmerksam sein - die zentrale Aufgabe eines SOC-Analysten

Ein Security Operations Center Analyst (kurz: SOC-Analyst) überwacht kontinuierlich die Netzwerke und Systeme eines Unternehmens, um Sicherheitsvorfälle zu erkennen. Das beinhaltet die Analyse von Logs und Incidents, mit dem Ziel, potenzielle Bedrohungen zu identifizieren. Sobald ein Vorfall erkannt wird, wird eine Triage durchgeführt, die Schwere und der Umfang des Vorfalls werden festgestellt und die nötige Incident Response wird eingeleitet. Bei der SmartIT werden nicht nur die firmeneigenen Systeme im SOC überwacht, sondern auch diejenigen der SmartIT SOC-Kundinnen und -Kunden.

Entscheidender Faktor: Mensch!

SOC-Analysten sind entscheidend, weil auch die beste Alarmanlage ihre Wirkung verliert, wenn dessen Meldungen ignoriert werden. Sie überwachen die Systeme kontinuierlich und reagieren schnell auf Vorfälle, wobei die Reaktionszeit auf das absolute Minimum reduziert wird. Ohne diese menschliche Komponente bleiben viele Bedrohungen unentdeckt oder werden nicht effektiv gehandhabt. Automatisierte Systeme können zwar schon sehr viel leisten, aber die Einschätzung und Reaktion auf komplexe Bedrohungen erfordert menschliches Eingreifen, da auch die modernsten Systeme nicht komplett selbstständig Angriffe abwehren können. Die Angriffsmethoden ändern sich stetig und in einem so hohen Tempo, dass es für Hersteller der Abwehrsysteme oft nicht möglich ist, die Bedrohungen binnen wenigen Tagen einzugrenzen bzw. abzuwehren. In vielen Fällen ist es auch so, dass die Updates zur Schliessung der Lücken in der Software nicht sofort installiert werden können, was zu einer temporären Vergrösserung der Angriffsfläche der IT-Infrastruktur dieser Unternehmen führt. Besonders in solchen Fällen ist eine manuelle Überwachung unverzichtbar und bietet einen enormen Mehrwert für jedes Unternehmen.

Ein typischer Arbeitstag beginnt mit der Überprüfung der eingegangenen Incidents, dann folgen die Analyse und Bearbeitung der Vorfälle. Es wird eng mit Kundinnen und Kunden zusammengearbeitet, um sicherzustellen, dass Systeme nicht nur sicher sind, sondern es auch bleiben. Es gibt regelmässige Meetings und Schulungen, um auf dem neuesten Stand zu bleiben, und durch unser Reporting werden Kunden auch immer wieder über das aktuelle Sicherheitsniveau ihres Unternehmens informiert.

Wie wird man SOC-Analyst: Ausbildung, Zertifizierungen und Herausforderungen

Es gibt verschiedene Wege, um SOC-Analyst zu werden. Viele haben einen Hintergrund in der allgemeinen Informatik oder der IT-Security, es gibt aber auch spezifische Zertifizierungen von vielen Anbietern, wie beispielsweise von Microsoft. Mit diesen Lernpfaden der verschiedenen Anbieter kann sehr viel Wissen aufgebaut werden, welches sich später in die Praxis mitnehmen lässt. Die theoretische Ausbildung gibt einen guten Einblick in die verschiedenen Abläufe, aber die praktische Erfahrung ist entscheidend, um die möglichen Angriffsmethoden und -taktiken zu verstehen und richtig reagieren zu können. Wir setzen hier auf starke Zusammenarbeit von vielen SOC-Analysten, sowohl intern als auch extern, um unseren Kunden die bestmögliche Incident-Analyse und -Response liefern zu können.

Es ist wichtig, ein starkes Eigeninteresse an der Materie zu haben, um sich stetig und motiviert weiterzubilden. Monotonie darf nicht zu Unaufmerksamkeit führen, da jederzeit mit einem Vorfall gerechnet werden muss. Zudem ist Belastbarkeit entscheidend, denn wenn aus einem Incident ein grösserer Vorfall wird, muss es schnell gehen und man trägt eine enorme Verantwortung. Ein ruhiges Gemüt hilft, auch in stressigen Situationen ruhig und analytisch zu bleiben.

Stetige Information und verschiedene Quellen geben Aufschluss

Um uns über aktuelle Bedrohungen zu informieren, nutzen wir bei der SmartIT verschiedene Quellen. Dazu gehören Blogs von allen möglichen offiziellen Einrichtungen wie zum Beispiel dem National Cybersecurity Centre (NCSC), aber auch von unabhängigen Sicherheitsexperten und Fachzeitschriften, und zusätzlich besuchen unsere SOC-Analysten regelmässig Schulungen und Weiterbildungen, um immer auf dem aktuellen Stand zu bleiben. Zudem lernen wir viel aus den realen Vorfällen, die bei unseren Kundinnen und Kunden auftreten. Es ist wichtig, immer mehrere Informationsquellen zu nutzen, um ein umfassendes Bild der Bedrohungslage zu erhalten.

Es ist enorm wichtig, proaktiv zu handeln und sich auf mögliche Angriffsszenarien vorzubereiten. IT-Sicherheit ist ein fortlaufender Prozess, und es ist immer günstiger und effektiver, präventive Massnahmen zu ergreifen, als blind und unstrukturiert auf einen Vorfall zu reagieren. Unternehmen sollten in regelmässige Schulungen und Sicherheitsmassnahmen investieren, und die Expertise von Fachpersonal in ihre laufenden Prozesse mit einbeziehen, um sich bestmöglich zu schützen. Unsere SOC-Analysten sind bestens auf Notfallszenarien vorbereitet und können mit ihrem Fachwissen schnell und unkompliziert handeln, um Ihr Unternehmen sicher zu halten.

Was genau ein SOC ist und weshalb jedes KMU eines benötigt, lesen Sie hier.