IT-Forensik Wiki - Benutzerbeiträge [de]

Security Operations Center (SOC)

2022-07-10T21:25:35Z

St211792:

== Security Operations Center (SOC) ==
Ein Security Operations Center (SOC) umfasst Mitarbeiter, Prozesse und Technologien, die für die Überwachung, Analyse und Aufrechterhaltung der Informationssicherheit eines Unternehmens verantwortlich sind1. Es sammelt in Echtzeit Daten aus den Netzwerken, Servern, Endpunkten und anderen digitalen Ressourcen des Unternehmens, um potenzielle Cybersicherheitsbedrohungen zu identifizieren und abzuwehren. Die meisten Security Operations Centers folgen einer "Hub and Spoke"-Struktur, die es dem Unternehmen ermöglicht, einen zentralen Datenspeicher zu erstellen. Zu den Aktivitäten und Verantwortlichkeiten des SOC gehören:
* '''Netzwerküberwachung''', um einen vollständigen Einblick in die digitalen Aktivitäten zu erhalten und Anomalien besser zu erkennen
* '''Präventionstechniken''' zur Abschreckung und Abwehr von (un)bekannten Risiken
* '''Bedrohungserkennung''' und -aufklärung, um den Ursprung, die Auswirkungen und den Schweregrad jedes Security Incidents bewerten zu können
* '''Incident Response''' auf Vorfälle und Abhilfemaßnahmen mit einer Mischung aus automatisierten Technologien und menschlichem Eingreifen
* '''Berichterstattung''', um sicherzustellen, dass alle Vorfälle und Bedrohungen in den Datenspeicher eingespeist werden, so dass dieser in Zukunft präziser und reaktionsfähiger wird
* '''Risiko- und Compliance-Funktionen''' zur Sicherstellung der Einhaltung von Branchen- und Regierungsvorschriften

=== Mitarbeiter ===
Das SOC besteht aus hochqualifizierten Security Analysts und Security Engeeners sowie aus Managern, die für einen reibungslosen Ablauf sorgen2. Die meisten SOCs verfolgen einen hierarchischen Ansatz zur Bewältigung von Sicherheitsproblemen, bei dem Analysten und Techniker je nach ihren Fähigkeiten und ihrer Erfahrung in Levels eingeteilt werden:
* '''Level 1 - Triage:''' Kategorisierung und Priorisierung von Warnmeldungen, Eskalation von Vorfällen an Tier 2-Analysten
* '''Level 2 - Reaktion auf Vorfälle:''' Untersucht und behebt eskalierte Vorfälle, identifiziert betroffene Systeme und den Umfang des Angriffs, nutzt Bedrohungsdaten, um den Gegner zu enttarnen
* '''Level 3 - Threat Hunter:''' Sucht proaktiv nach verdächtigem Verhalten und testet und bewertet die Netzwerksicherheit, um fortgeschrittene Bedrohungen zu erkennen und Bereiche mit Schwachstellen oder unzureichend geschützten Anlagen zu identifizieren

=== Prozesse ===
Die Prozesse, die von einem SOC durchgeführt werden, sind vielschichtig und variieren ja nach Organisation. Zu den wichtigsten Prozessen eines SOC-Teams gehören:
* '''Alarmtriage''' - Das SOC sammelt und korreliert Protokolldaten und stellt Tools bereit, mit denen Analysten diese überprüfen und relevante Sicherheitsereignisse erkennen können
* '''Priorisierung von Alarmen''' - SOC-Analysten nutzen ihr Wissen über das Geschäftsumfeld und die Bedrohungslandschaft, um Alarme zu priorisieren und zu entscheiden, welche Ereignisse echte Sicherheitsvorfälle darstellen
* '''Remediation and Recovery''' - Sobald ein Vorfall entdeckt wird, sind die SOC-Mitarbeiter dafür verantwortlich, die Bedrohung zu entschärfen, die betroffenen Systeme zu säubern und sie wieder in ihren normalen Betriebszustand zu versetzen
* '''Postmortem and Reporting''' - Eine wichtige Aufgabe des SOC besteht darin, die Reaktion des Unternehmens auf einen Vorfall zu dokumentieren, zusätzliche forensische Analysen durchzuführen, um sicherzustellen, dass die Bedrohung vollständig eingedämmt wurde, und aus dem Vorfall zu lernen, um die Prozesse des SOC zu verbessern

=== Technologien ===
Um eine ganze Organisation effektiv überwachen zu können, benötigt das SOC eine Reihe von Tools und Produkten. Typische Technologien, die bei innerhalb eines SOCs zusammenspielen, sind:
* '''Security information and event management (SIEM):''' Ein SIEM sammelt und kategorisiert Daten aus einer Vielzahl von Quellen im Netzwerk und analysiert diese, damit in Echtzeit darauf reagiert werden kann
* '''Endpoint Detection and Response (EDR):''' Jedes Gerät, das eine Verbindung zu Ihrem Netzwerk herstellt, ist anfällig für Angriffe. Ein EDR kann Bedrohungen auf Endgeräten und in der Netzwerkumgebung erkennen und auf sie reagieren
* '''Firewall:''' Sie überwacht den ein- und ausgehenden Netzwerkverkehr und blockiert ihn automatisch auf der Grundlage der von Ihnen festgelegten Regeln
* '''Log-Management-System:''' Ermöglicht die Protokollierung aller Meldungen, die von jeder Software, Hardware und jedem Endgerät im Netzwerk stammen
* '''Vulnerability Scanners und Penetrationstests:''' Ermöglicht es den Security Analysts Schwachstellen zu untersuchen und unentdeckte Schwachstellen im Netzwerk zu finden
* '''Ticketing Tool:''' Ermöglicht es Alarme aus Überwachungsregeln zu dokumentieren und sammeln. Security Analysts können sich Alarme zur Bearbeitung zuweisen und so effektiv bearbeiten

1 https://www.crowdstrike.com/cybersecurity-101/security-operations-center-soc/ (25.05.22)

2 https://www.splunk.com/en_us/data-insider/what-is-a-security-operations-center.html (25.05.22)

Security Operations Center (SOC)

2022-07-10T21:22:22Z

St211792: Die Seite wurde neu angelegt: „== Security Operations Center (SOC) == Ein Security Operations Center (SOC) umfasst Mitarbeiter, Prozesse und Technologien, die für die Überwachung, Analyse…“

== Security Operations Center (SOC) ==
Ein Security Operations Center (SOC) umfasst Mitarbeiter, Prozesse und Technologien, die für die Überwachung, Analyse und Aufrechterhaltung der Informationssicherheit eines Unternehmens verantwortlich sind. Es sammelt in Echtzeit Daten aus den Netzwerken, Servern, Endpunkten und anderen digitalen Ressourcen des Unternehmens, um potenzielle Cybersicherheitsbedrohungen zu identifizieren und abzuwehren. Die meisten Security Operations Centers folgen einer "Hub and Spoke"-Struktur, die es dem Unternehmen ermöglicht, einen zentralen Datenspeicher zu erstellen. Zu den Aktivitäten und Verantwortlichkeiten des SOC gehören:
* '''Netzwerküberwachung''', um einen vollständigen Einblick in die digitalen Aktivitäten zu erhalten und Anomalien besser zu erkennen
* '''Präventionstechniken''' zur Abschreckung und Abwehr von (un)bekannten Risiken
* '''Bedrohungserkennung''' und -aufklärung, um den Ursprung, die Auswirkungen und den Schweregrad jedes Security Incidents bewerten zu können
* '''Incident Response''' auf Vorfälle und Abhilfemaßnahmen mit einer Mischung aus automatisierten Technologien und menschlichem Eingreifen
* '''Berichterstattung''', um sicherzustellen, dass alle Vorfälle und Bedrohungen in den Datenspeicher eingespeist werden, so dass dieser in Zukunft präziser und reaktionsfähiger wird
* '''Risiko- und Compliance-Funktionen''' zur Sicherstellung der Einhaltung von Branchen- und Regierungsvorschriften

=== Mitarbeiter ===
Das SOC besteht aus hochqualifizierten Security Analysts und Security Engeeners sowie aus Managern, die für einen reibungslosen Ablauf sorgen . Die meisten SOCs verfolgen einen hierarchischen Ansatz zur Bewältigung von Sicherheitsproblemen, bei dem Analysten und Techniker je nach ihren Fähigkeiten und ihrer Erfahrung in Levels eingeteilt werden:
* '''Level 1 - Triage:''' Kategorisierung und Priorisierung von Warnmeldungen, Eskalation von Vorfällen an Tier 2-Analysten
* '''Level 2 - Reaktion auf Vorfälle:''' Untersucht und behebt eskalierte Vorfälle, identifiziert betroffene Systeme und den Umfang des Angriffs, nutzt Bedrohungsdaten, um den Gegner zu enttarnen
* '''Level 3 - Threat Hunter:''' Sucht proaktiv nach verdächtigem Verhalten und testet und bewertet die Netzwerksicherheit, um fortgeschrittene Bedrohungen zu erkennen und Bereiche mit Schwachstellen oder unzureichend geschützten Anlagen zu identifizieren

=== Prozesse ===
Die Prozesse, die von einem SOC durchgeführt werden, sind vielschichtig und variieren ja nach Organisation. Zu den wichtigsten Prozessen eines SOC-Teams gehören:
* '''Alarmtriage''' - Das SOC sammelt und korreliert Protokolldaten und stellt Tools bereit, mit denen Analysten diese überprüfen und relevante Sicherheitsereignisse erkennen können
* '''Priorisierung von Alarmen''' - SOC-Analysten nutzen ihr Wissen über das Geschäftsumfeld und die Bedrohungslandschaft, um Alarme zu priorisieren und zu entscheiden, welche Ereignisse echte Sicherheitsvorfälle darstellen
* '''Remediation and Recovery''' - Sobald ein Vorfall entdeckt wird, sind die SOC-Mitarbeiter dafür verantwortlich, die Bedrohung zu entschärfen, die betroffenen Systeme zu säubern und sie wieder in ihren normalen Betriebszustand zu versetzen
* '''Postmortem and Reporting''' - Eine wichtige Aufgabe des SOC besteht darin, die Reaktion des Unternehmens auf einen Vorfall zu dokumentieren, zusätzliche forensische Analysen durchzuführen, um sicherzustellen, dass die Bedrohung vollständig eingedämmt wurde, und aus dem Vorfall zu lernen, um die Prozesse des SOC zu verbessern

=== Technologien ===
Um eine ganze Organisation effektiv überwachen zu können, benötigt das SOC eine Reihe von Tools und Produkten. Typische Technologien, die bei innerhalb eines SOCs zusammenspielen, sind:
* '''Security information and event management (SIEM):''' Ein SIEM sammelt und kategorisiert Daten aus einer Vielzahl von Quellen im Netzwerk und analysiert diese, damit in Echtzeit darauf reagiert werden kann
* '''Endpoint Detection and Response (EDR):''' Jedes Gerät, das eine Verbindung zu Ihrem Netzwerk herstellt, ist anfällig für Angriffe. Ein EDR kann Bedrohungen auf Endgeräten und in der Netzwerkumgebung erkennen und auf sie reagieren
* '''Firewall:''' Sie überwacht den ein- und ausgehenden Netzwerkverkehr und blockiert ihn automatisch auf der Grundlage der von Ihnen festgelegten Regeln
* '''Log-Management-System:''' Ermöglicht die Protokollierung aller Meldungen, die von jeder Software, Hardware und jedem Endgerät im Netzwerk stammen
* '''Vulnerability Scanners und Penetrationstests:''' Ermöglicht es den Security Analysts Schwachstellen zu untersuchen und unentdeckte Schwachstellen im Netzwerk zu finden
* '''Ticketing Tool:''' Ermöglicht es Alarme aus Überwachungsregeln zu dokumentieren und sammeln. Security Analysts können sich Alarme zur Bearbeitung zuweisen und so effektiv bearbeiten

Hauptseite

2022-07-10T21:17:12Z

St211792: /* S */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

[[Autopsy]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[Blacklisting]]

[[BLOB]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[CSA - Cloud Security Alliance]]

[[CVE - Common Vulnerabilities and Exposures]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenbankmanagementsystem]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Wörterbuchangriff|Dictionary Attack]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DLP]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[ENISA]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flash Speicher]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Inline (Queries) SQL Injection]]

[[Integrität]]

[[IT-Forensik]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

=== M ===
[[Magnet Axiom]]

[[MariaDB-Audit-Plugin|MariaDB Audit Plugin]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

[[Nutzdaten]]

=== O ===
[[OCR]]

[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PhotoDNA]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Privilege Escalation]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

=== Q ===

[[Query Log]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Privilege_Escalation|Rechteausweitung]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Security Operations Center (SOC)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sleuthkit]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[Secure Erase]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQL Stored Procedures]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trigger in DBMS]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]] 
[[UNION Based SQL Injection]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[VPN]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

[[Worm]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]