SOAR und sein Beitrag zur Cybersicherheitsarchitektur

Der Kampf gegen Cyberangriffe reicht heute sehr weit, von der Sicherheit aller internetfähigen Geräte in unseren Wohnungen bis zum Schutz kritischer Infrastrukturen auf internationaler Ebene. Sicherheitswerkzeuge, die auf individueller und organisatorischer Ebene eingesetzt werden, spielen dabei eine wichtige Rolle.

Nach dem Prinzip, die Aktivitäten auf allen Geräten in einem Netzwerk zu überwachen und erkannte Bedrohungen an Cybersicherheitsteams weiterzuleiten, geben Lösungen für „Security Information and Event Management“ (SIEM) den Fachleuten eine Überwachungsfähigkeit an die Hand.

Nach ähnlichem Prinzip tragen Sicherheitswerkzeuge wie „Endpoint Detection and Response“ (EDR), „Managed Detection and Response“ (MDR) und „Extended Detection and Response“ (XDR), die Schadsoftware erkennen und Gegenmaßnahmen ergreifen können, zusammen mit SIEM-Systemen zur Cybersicherheitsarchitektur bei.

In den letzten Jahren kamen „Security Orchestration, Automation and Response“-Systeme (SOAR) hinzu, die die vorhandenen Fähigkeiten noch weiter ausbauen.

In diesem Beitrag untersuchen wir die Rolle von SOAR-Systemen im Kampf gegen Cyberangriffe und ihren Beitrag zur Cybersicherheitsarchitektur.

Was ist SOAR?

SOAR ist ein Cybersicherheitswerkzeug zur Optimierung von Sicherheitsoperationen. Diese Systeme verbinden Bedrohungserkennung, Reaktion und Behebung und unterstützen Sicherheitsteams zugleich mit Automatisierungsfunktionen.

Konkreter gesagt: Als Plattform, von der aus ein Sicherheitsteam alle von ihm betriebenen Sicherheitswerkzeuge zentral steuern kann, hebt SOAR die Sicherheitsoperationen auf eine neue Ebene, weil es Bedrohungen nicht nur erkennt, sondern auch unmittelbar darauf reagieren kann.

Vor SOAR beruhte die Cybersicherheitsarchitektur meist auf manuellen Prozessen. Eingreifen, Analyse und Reaktion auf erkannte Sicherheitsvorfälle wurden meist getrennt behandelt, was Zeit kosten und eine wirksame Reaktion verzögern konnte.

Seit SOAR-Systeme Teil der Sicherheitsarchitektur sind, ist mit schneller Reaktion, wirksamer Koordination und kontinuierlicher Verbesserung im Kampf gegen Cyberangriffe auch die allgemeine Wirksamkeit der Cybersicherheit gestiegen.

Die Entwicklung der SOAR-Technologie

Der Bedarf, aus dem SOAR-Systeme hervorgingen, wurde Anfang der 2010er Jahre erkannt, und die ersten Systeme wurden damals eingesetzt. Die noch junge Geschichte von SOAR und seine Entwicklung lassen sich in folgende Phasen gliedern:

1. Erkennen des Bedarfs und Bewusstseinsbildung (2010–2015): Mit zunehmender Komplexität der Sicherheitsoperationen und wachsender Bedrohung erkannten Sicherheitsteams, dass manuelle Prozesse nicht ausreichten. In dieser Zeit entstanden Bedarf und Bewusstsein dafür, wie Automatisierung und Integration in Sicherheitsoperationen eingebunden werden können. Die ersten SOAR-Lösungen entwickelten sich mit dem Schwerpunkt, Sicherheitsvorfälle durch Automatisierung und Integration wirksamer zu bewältigen. Damals entstanden die ersten SOAR-Plattformen, die Threat Intelligence, Automatisierung und Reaktionsprozesse verbanden.

2. Integration und Ausweitung (2015–2020): In dieser Phase wurden die Integrationsfähigkeiten von SOAR-Systemen mit verschiedenen Sicherheitsprodukten und -werkzeugen ausgebaut. SOAR-Plattformen begannen, ein breiteres Spektrum an Sicherheitsvorfällen zu bewältigen und Daten aus Werkzeugen wie SIEM und EDR zu integrieren.

3. KI und Analysefähigkeiten (nach 2020): Heute werden SOAR-Systeme mit künstlicher Intelligenz und maschinellem Lernen ausgestattet, um komplexere Bedrohungen zu erkennen und intelligenter zu reagieren, und ihre Fähigkeiten werden weiter ausgebaut.

Dabei wurden zunächst Echtzeit-Analysefähigkeiten und die Fähigkeit entwickelt, den Kontext von Vorfällen zu verstehen. Über die Automatisierung der Prozesse von der Erkennung bis zur Reaktion hinaus wurde SOAR zudem zu umfassenden Sicherheitsplattformen ausgebaut. Diese bieten Sicherheitsteams einen integrierten Ansatz, mit dem sie Sicherheitsvorfälle besser bearbeiten, analysieren und darauf reagieren können.

Was tragen SOAR-Systeme zur Architektur eines Security Operations Center (SOC) bei?

Managed Security Service Provider (MSSP), die Unternehmen Sicherheitsdienstleistungen anbieten, und Security-Operations-Center-Teams (SOC), die Sicherheitswerkzeuge sowie ausgebildete Analysten zur Steuerung dieser Werkzeuge und Prozesse vereinen, wurden zu den intensivsten Nutzern von SOAR-Systemen.

Der Grund: Wegen der Kosten kann nicht jedes Unternehmen jeder Größe eine SOAR-Lösung anschaffen, und ohne ausgebildete Ingenieure und Analysten ist ein wirksamer Einsatz ohnehin unrealistisch.

Man kann ohne Übertreibung sagen, dass SOAR neben der Stärkung herkömmlicher Fähigkeiten das Potenzial hat, die SOC-Architektur maßgeblich zu prägen.

Dass SOAR eine Plattform ist, in die alle Lösungen eines SOC wie SIEM und EDR/MDR/XDR integriert werden können und über die automatisierte Reaktionen (ein Gerät vom Netzwerk trennen, eine IP-Adresse oder einen Hash-Wert blockieren usw.) möglich sind, macht es zusammen mit den anderen Lösungen und Komponenten noch wichtiger.

Die Beiträge von SOAR zur SOC-Architektur lassen sich so zusammenfassen:

1. Automatisierung und Integration: Weil SOAR schnell und automatisch auf Sicherheitsvorfälle reagieren kann, können SOC-Teams die Prozesse von der Erkennung bis zur Reaktion beschleunigen und den manuellen Aufwand minimieren.

2. Aufgabenverteilung und Zusammenarbeit: SOAR bietet die Möglichkeit, Aufgabenverteilung und Zusammenarbeit zwischen Sicherheitsteams zu verbessern. Durch Automatisierung bestimmter Aufgaben und Integration können Teams wirksamer kommunizieren und zusammenarbeiten.

3. Zentrale Steuerung: Durch die Integration verschiedener Sicherheitswerkzeuge und -systeme macht SOAR die unterschiedlichen Komponenten eines SOC zentral steuerbar. Musste man früher, um auf von verschiedenen Werkzeugen erkannte Bedrohungen zu reagieren, jedes Werkzeug einzeln überwachen, geschieht dies dank SOAR über eine einzige Plattform. So lassen sich Sicherheitsoperationen besser koordinieren und die Effizienz steigt.

4. Bedrohungsanalyse in Echtzeit: Weil SOAR über Echtzeit-Analysefähigkeiten verfügt, hilft es dem SOC, Bedrohungen schneller und wirksamer zu erkennen und darauf zu reagieren.

5. Kontinuierliche Verbesserung: SOAR unterstützt die kontinuierliche Verbesserung, indem es Daten aus Sicherheitsvorfällen nutzt. Das hilft dem SOC, seine Abläufe zu analysieren, Sicherheitsmaßnahmen zu optimieren und besser auf künftige Bedrohungen vorbereitet zu sein.

Mit diesen Fähigkeiten kann SOAR die Sicherheitsoperationen stärken, indem es dem SOC hilft, wirksamer, schneller und anpassungsfähiger zu arbeiten.

Können SOAR-Systeme auch als Bedrohung für Cybersicherheitsanalysten gelten?

Dass SOAR Sicherheitsoperationen optimiert und die Bedrohungserkennung durch automatisierte Reaktion ergänzt, wirft die Frage auf: „Könnten SOAR-Systeme künftig eine Bedrohung für Cybersicherheitsanalysten werden?“

Da es Analysten mit seinen heutigen Fähigkeiten unterstützt, kann man SOAR weniger als Bedrohung denn als Hilfsmittel sehen. Schließlich ermöglicht SOAR durch die Automatisierung wiederkehrender und zeitraubender Aufgaben schnellere Reaktionen der Sicherheitsteams.

Zudem beseitigen die Fähigkeiten von SOAR weder die Bedeutung noch die Rolle der Analysten; sie erlauben ihnen vielmehr, sich auf komplexere und strategische Aufgaben zu konzentrieren.

Auch wenn SOAR automatische Reaktion und Behebung bietet, werden menschliche Analyse und Expertise weiterhin wichtig bleiben. Angesichts der Komplexität und Vielfalt der Angriffe werden Analysten bei detaillierten Analysen und Entscheidungen eine entscheidende Rolle behalten.

Gegen bekannte Bedrohungen kann SOAR wirksam sein, doch Analysten bleiben stets ein zentraler Bestandteil, weil sie die Flexibilität und Kreativität mitbringen, die im Umgang mit neuen, sich ständig wandelnden Bedrohungen nötig sind.

Außerdem gibt SOAR Analysten durch die Automatisierung von Routineaufgaben die Möglichkeit, sich auf strategischere, menschenbezogene Aufgaben zu konzentrieren, etwa die Entwicklung von Sicherheitsstrategien oder die Förderung von Schulung und Bewusstsein.

Als Werkzeug, das Analysten und Sicherheitsoperationen insgesamt unterstützt, verleiht SOAR dem Kampf gegen Cyberangriffe eine neue Dimension und Stärke, während der Mensch beim Einsatz von SOAR und ähnlichen Werkzeugen seine entscheidende Rolle behält.

Alles in allem wird der Einsatz von SOAR-Systemen, die eine wichtige Neuerung in der Cybersicherheitsarchitektur darstellen, weiter zunehmen, und die Fähigkeiten von Lösungen wie SIEM und EDR werden auf einer einzigen Plattform besser steuerbar und wirksamer nutzbar.

Bei aller Anerkennung seiner Optimierungs- und Automatisierungsfähigkeiten kann SOAR nur dank der Aufsicht und richtigen Konfiguration durch Cybersicherheitsanalysten zum Kampf gegen Cyberangriffe beitragen.