Wer arbeitet in einem Security Operations Center?

SOC-Manager: Im SOC Management geht es um die strategische Ausrichtung des Security Operations Centers. Das Management koordiniert somit die unterschiedlichen Teams, entscheidet darüber, welche Rollen und Positionen im SOC verteilt werden und sorgt so dafür, dass die Prozesse des Security Operations Centers entsprechend reibungslos verlaufen. Ein SOC-Manager nimmt also die Führungsposition im Security Operations Center ein. Er trägt die Gesamtverantwortung für das SOC, die strategische Ausrichtung, Planung und die Koordination von täglich anfallenden Aufgaben. Zudem berichtet er an die Geschäftsführung sowie weitere wichtige Stakeholder im Unternehmen. Er ist daher immer auch eine wichtige Schnittstelle, die relevante Informationen an die Geschäftsleitung weitergibt und zudem wichtige Budgets verwaltet, mit denen dann weitere Technologien integriert werden können oder Modernisierungen im SOC stattfinden.

SOC-Analysten: Die sogenannten Security-Analysten sind in einem SOC nicht nur von entscheidender Bedeutung, sondern auch maßgeblich für dessen Erfolg verantwortlich. Security-Analysten durchforsten tagtäglich die Log-Dateien, analysieren eintreffende Warnungen sowie gewöhnliche Meldungen, aber ebenso Auffälligkeiten innerhalb der IT-Infrastruktur. Sie überwachen und analysieren im SOC also nahezu alles und betrachten sämtliche Sicherheitsprotokolle überaus genau. Ihr Fachwissen erstreckt sich dabei über verschiedene Bereiche, wie etwa Netzwerk- und Systemsicherheit, Malware-Analyse oder Schwachstellenmanagement. Um akute und zukünftige Vorfälle besser bewältigen zu können, analysieren sie, was ihnen in die Finger kommt, um daraus weitere Schlüsse und bleibende Erkenntnisse abzuleiten. Sie arbeiten zudem in unterschiedlichen Kompetenzstufen. Dazu weiter unten noch ein wenig mehr.

Incident Responder: Die Incident Responder, oft auch nur Responder genannt, sind ausgebildete Experten für IT-Sicherheit. Sie reagieren bei Sicherheitsvorfällen augenblicklich, treffen Entscheidungen unter hohem Druck, leiten Mitarbeiter durch das weitere Vorgehen, aktivieren Gegenmaßnahmen oder trennen Systeme sogar ganz vom Netzwerk, wenn diese in Gefahr sind. Alles mit dem Zweck, möglichen Schaden vom angegriffenen Unternehmen abzuwenden. Die Herausforderung eines Incident Responders ist es, präzise Entscheidungen zu treffen, obwohl die Situation heikel und brandgefährlich sein kann. Er muss daher jederzeit einen kühlen Kopf bewahren, auch wenn alles schon brennt. Bei der Incident Response geht es darum, schnellstmöglich und trotzdem nicht kopflos zu reagieren, um Sicherheitsprobleme effizient zu beseitigen und Cyberangriffe erfolgreich abzuwehren, ehe sie großen Schaden an der IT-Infrastruktur verursachen können.

SOC Threat Hunter: Sogenannte Threat Hunter beschäftigen sich in einem SOC mit der Suche nach Schwachstellen und potenziellen Bedrohungen. Anders als die SOC-Analysten sind die SOC Threat Hunter jedoch weniger reaktiv als vielmehr proaktiv tätig. Die Bedrohungssuche ist dabei eine enorm wichtige proaktive Methode, um Bedrohungen im Netzwerk zeitnah zu identifizieren und eliminieren zu können. Threat Hunter sind daher durchgehend damit beschäftigt, manuell sowie automatisiert nach möglichen Bedrohungsmustern zu suchen. Durch ihre proaktive Arbeit gelingt es ihnen, selbst komplexe Angriffe zu erkennen, bevor sie größeren Schaden anrichten können. Ziel ist es dabei immer, Angriffe zu erkennen, noch bevor diese überhaupt stattfinden. Das schaffen sie, indem sie ungewöhnliche Verhaltensmuster enttarnen, die von gewöhnlichen Überwachungssystemen nicht richtig erkannt werden können. Hier sind die Threat Hunter im besten Fall immer einen Schritt voraus und erkennen bösartige Akteure noch vor den automatischen Systemen.

SOC IT-Forensiker: Die IT-Forensik befasst sich mit der forensischen Beweissicherung. Ein IT-Forensiker analysiert systematisch die erfolgten Angriffe, sichert Daten dazu in möglichst unveränderter und somit unverfälschter Form, analysiert und bewertet diese, um sie anschließend auswerten und bei Bedarf präsentieren zu können. Am Ende beantwortet ein IT-Forensiker die klassischen Fragen. Also was, wo, wann und wie passiert ist und wer dafür verantwortlich war. Es geht somit vornehmlich um die saubere Aufarbeitung von Cyberangriffen, mit der eventuellen Beweissicherung für kommende Verfahren. Ein Forensik-Spezialist im SOC ist also geschult darin, die Ursprünge eines Angriffs zu erforschen. Dafür rekonstruiert er häufig den Angriff selbst und versucht, das Angriffsmuster und die genutzte Methode durch Rekonstruktion vollständig zu verstehen. Außerdem ist es seine Aufgabe, darüber hinaus festzustellen, welche Daten überhaupt kompromittiert wurden.