FAQ over het centrum voor beveiligingsactiviteiten

Een SOC is een operationeel centrum waar de dagelijkse beveiligingsactiviteiten plaatsvinden.

Het is haar missie om bedrijven te beschermen door detectiemogelijkheden te bieden om identificeren en waarschuwen bij inkomende cyberbedreigingen. Maar ook om erop te reageren om de bedrijfsimpact van een cyberbeveiligingsincident te beperken.

Zonder de juiste tools en expertise is de gemiddelde dwell-time (tijd tot inbraakdetectie) 56 dagen. En 53% van de bedrijven wordt nog steeds gewaarschuwd door externe ^instanties1. Met een SOC kunt u uw netwerk en servers effectief bewaken. En eventuele bedreigingen eerder detecteren en sneller reageren voordat ze uw bedrijf kunnen beïnvloeden.

Het mission charter van een SOC moet worden gedefinieerd en afgestemd op uw bedrijfsdoelstellingen en omgeving. Het varieert afhankelijk van de grootte en de sector van een organisatie, evenals het risicoprofiel en de risicobereidheid. Er is geen ‘one size fits all’ als het gaat om een SOC.

Een ziekenhuis bijvoorbeeld – gedreven door patiëntveiligheid en de bescherming van de gevoelige informatie van hun patiënten – staat voor compleet andere uitdagingen dan een productiebedrijf, gedreven door de productiviteit van zijn activiteiten en mogelijk de bescherming van zijn IP, in een SCADA-omgeving. De beveiligingsrisicoprofielen zijn verschillend, wat leidt tot cyberbeveiligingsstrategieën met verschillende accenten.

Daarom zullen het ontwerp en de maturiteit van de verschillende SOC-capaciteiten verschillen om hun respectievelijke risicoprofiel aan te pakken. Het ziekenhuis is bijvoorbeeld misschien meer geïnteresseerd in een volledig overzicht van alle netwerkverkeersactiviteiten binnen de perimeter om de “ongecontroleerde insiders” beter te kunnen controleren en minder in forensisch onderzoek, terwijl de fabrikant zijn fabrieken wil beschermen en ongeautoriseerde toegang tot zijn vertrouwelijke gegevens wil controleren.

¹ M-Trend 2020(https://content.fireeye.com/m-trends-fr/rpt-m-trends-2020)

Theoretisch verwijst een SOC, of Security Operations Centre, naar een combinatie van meerdere operationele blokken. Een SOC kan bestaan uit:

• Commandocentrum: Boven alles, in het hart van het SOC, is er een commandocentrum waar alles is gecentraliseerd, inclusief de reactie op incidenten. Er is een noodnummer dat moet worden gebeld in het geval van een bedreiging die vervolgens de hieronder genoemde noodzakelijke processen in gang zet.
• Bewaking en alarmering (SIEM): De mogelijkheid om in realtime te monitoren wat er gebeurt op het netwerk en de servers van een bedrijf, logs te verzamelen en op basis van vooraf gedefinieerde regels verdachte activiteiten te detecteren, zoals ongewenste inbraken van buitenaf of ongeautoriseerde interne toegang.
• Respons bij incidenten: In het geval van een bedreiging is er behoefte aan onderzoek. Als het een bevestigd incident is, kan een team vaststellen wat en waar het probleem is. En actie ondernemen om de impact te beperken en ondersteuning bieden bij het hervatten van de normale bedrijfsactiviteiten.
• Forensisch onderzoek: een specifiek onderdeel van incident response, het verwijst naar een onderzoek in het geval van bijvoorbeeld een rechtszaak. Door middel van grondig onderzoek, inclusief malware-analyse en reverse engineering, is het doel om bewijs te verzamelen. En de hoofdoorzaak van een aanval vast te stellen.
• Informatie over bedreigingen: Het vermogen om te analyseren wat er op het net gebeurt en om feeds van andere externe systemen op te nemen om te helpen bepalen welke bedreigingen en bedreigingsactoren aanwezig zijn. Voor efficiënte informatie over bedreigingen is de samenwerking van zowel menselijke als AI-tools vereist.
• Kwetsbaarheidsbeheer: De mogelijkheid om periodieke scans uit te voeren op het netwerk van een organisatie om gebreken, kwetsbaarheden en ongepatchte systemen te identificeren.
• Configuratiebewaking: Deze functie is gericht op het controleren en detecteren van afwijkingen van goedgekeurde standaarden en configuraties tijdens wijzigingen, zoals (maar niet beperkt tot) bestandsintegriteitscontrole, basisconfiguratie op systeemgoedkeuringen (compliancy checks), …
• Penetratietesten: Pentests gaan verder dan het scannen van kwetsbaarheden om te modelleren/demonstreren hoe een tegenstander een systeem zou compromitteren en wat er gevaar loopt.

Vandaag de dag worden bedrijven geconfronteerd met verschillende termen op het gebied van cyberbeveiliging. En op het gebied van Detection and Response zijn er 3 termen die de moeite waard zijn om nader toe te lichten om beter te begrijpen wat ze inhouden:

• Beheerde beveiligingsdiensten: Een managed security service provider levert meer dan alleen een SOC. Hij beheert bijvoorbeeld ook firewalls, VPN’s, platformen voor identiteits- en toegangsbeheer, preventie van gegevensverlies, enzovoort…
• Centrum voor beveiligingsactiviteiten (SOC): Een SOC verwijst naar een combinatie van meerdere blokken (zie vraag ‘Wat zijn de componenten van een SOC?’). Dit omvat dezelfde functies als MDR, maar het toepassingsgebied is uitgebreid met andere oplossingen, waaronder kwetsbaarheidsbeheer, forensisch onderzoek en beoordelingen.
• Managed Detection and Response (MDR): MDR is een subset van een SOC en verwijst meestal naar wat we tegenwoordig een “modern SOC” noemen. Dit is een meer geconcentreerde oplossing dan een SOC. Het richt zich meestal op endpoint- of netwerkdetectiemogelijkheden, incidentrespons (geautomatiseerd en handmatig) en omvat over het algemeen informatie over bedreigingen. Het is gebaseerd op nieuwere technologieën genaamd XDR (Extended Detection & Response) die zich meer richten op gedragsanalyse in plaats van op handtekeningen, gebruikmaken van A.I. en geautomatiseerd kunnen reageren.

Allereerst is de belangrijkste uitdaging om precies te bepalen wat uw bedrijf nodig heeft. In theorie bestaat een SOC uit meerdere blokken en afhankelijk van de missie, uw middelen en risicobereidheid is er niet altijd behoefte aan een volledig SOC.

Identificeer ten tweede welke technologieën het beste passen bij de behoeften en prioriteiten van uw bedrijf om effectieve beveiligingsresultaten te behalen. Overweeg de volwassenheid van de bestaande mogelijkheden, inclusief preventie-, beschermings- en herstelmaatregelen in uw organisatie. Beoordeel bijvoorbeeld of u end-point detection and response (EDR) of zichtbaarheid met network detection and response (NDR) nodig hebt. Bepaal of het consolideren van loggegevens van domeincontrollers, DNS en kritieke bedrijfsmiddelen in een SIEM noodzakelijk is. Deze investeringen slokken vaak een aanzienlijk deel van het cyberbeveiligingsbudget op, waardoor er weinig overblijft voor andere middelen.

Ten derde, definieer de mogelijkheden die de beste ROI bieden en plan hun integratie in je bestaande infrastructuur.

Stem ten slotte beveiliging en bedrijfsdoelstellingen op elkaar af tijdens het ontwerp, de implementatie en de bedrijfsvoering voor optimale effectiviteit.

Mogelijk moet je processen zoals risicobeheer en capaciteitsbeheer aanpassen om SOC-resultaten effectief te integreren.

Tot slot is het belangrijk om de cruciale rol van mensen niet te vergeten. Je hebt altijd mensen nodig met de competenties om welke technologie je ook kiest, te onderhouden en te gebruiken. Hoewel geavanceerde technologie kan helpen om het aantal benodigde mensen te verminderen, heb je hoogopgeleide experts nodig om ze te gebruiken en te onderhouden.

Kiezen voor cloud-gebaseerde oplossingen betekent in het algemeen dat u zich geen zorgen hoeft te maken over het onderhoud van de hardware, de software, de capaciteit of het beschikbaarheidsbeheer. In tegenstelling tot een oplossing op locatie, is het in de cloud niet nodig om uw servers te beheren en te onderhouden. Dit biedt enige verlichting op het gebied van mensen en middelen.

Als het gaat om SOC, bijvoorbeeld, is het opzetten van een SIEM in de cloud eenvoudig en vergt het weinig inspanning. Het onderhoud en de beveiliging van de SIEM is de verantwoordelijkheid van de Security Service Provider. U hoeft zich niet meer met deze aspecten bezig te houden.

Twee belangrijke aandachtspunten bij het kiezen van een cloudgebaseerde oplossing voor uw SOC-mogelijkheden (d.w.z. SIEM of XDR) zijn compliance en gegevenssoevereiniteit. Weet u zeker dat uw informatie veilig wordt opgeslagen en niet toegankelijk is voor anderen? Als uw bedrijf het risico niet wil lopen of een strikt beveiligingsbeleid heeft dat het gebruik van cloudoplossingen verbiedt, dan is een oplossing op locatie (of een soevereine cloudoplossing) beter geschikt voor uw bedrijfsbehoeften.

Een andere reden om te kiezen voor een SIEM op locatie is de technische architectuur van het bedrijf. Een SIEM verzamelt veel logs en als die allemaal naar de cloud moeten worden geüpload, kan dat problemen veroorzaken zoals overbelaste netwerkbandbreedte.

Als het op risico’s aankomt, is er geen verschil tussen de twee opties. Naarmate de digitalisering voortschrijdt, zijn er veel verschillende toegangspunten en geen van beide oplossingen is veiliger dan de andere.

De behoeften en middelen van bedrijven zijn zeer veelzijdig, dus er bestaan meerdere opties om aan alle eisen van bedrijven te voldoen:

• Intern: U behoudt de volledige controle en het beheer van uw SOC. Uw interne resources zijn verantwoordelijk voor de dagelijkse werkzaamheden. Zij zijn verantwoordelijk voor het bewaken van je netwerk en het reageren op gedetecteerde incidenten.
• Uitbesteed: U delegeert het beheer van uw SOC aan een extern team van experts. Een externe leverancier is verantwoordelijk voor het bewaken van uw infrastructuur en het reageren op geïdentificeerde bedreigingen.
  Door te kiezen voor uitbesteding kunt u zich richten op uw kernactiviteiten en laat u uw beveiliging over aan experts.
• Hybride: Hoewel u de meeste controle behoudt, delegeert u sommige taken aan een externe partner. U kunt bijvoorbeeld de Incident Response delegeren aan een externe cyberbeveiligingsdeskundige.
  Door gebruik te maken van deze hybride optie behoudt u de controle over uw SOC, maar profiteert u van de expertise van externe partners, waardoor u minder moeilijk te vinden deskundigen hoeft aan te stellen.

Stel jezelf de volgende vragen om te bepalen welk model het meest geschikt is voor jouw bedrijf:

• In welke branche zit je? Soms moet of wilt u vanwege de bescherming van de natiestaat of wettelijke verplichtingen de volledige controle over uw SOC behouden, terwijl u zich in andere sectoren wilt richten op uw kernactiviteiten en andere professionals de diensten voor u wilt laten leveren.
• Wat zijn je bronnen? Onze ervaring met veel van onze klanten is unaniem en overduidelijk. Hoe meer je technologieën toevoegt voor bescherming of detectie, hoe meer resources je nodig hebt om ze te onderhouden.
  Bovendien, hoe meer gegevens je genereert om inzicht te krijgen, hoe meer expertise je nodig hebt om goede triage uit te voeren en te begrijpen wat belangrijk is versus wat ruis is. Hoewel veel IT’ers ook goede beveiligingsvaardigheden hebben, weet u zeker dat ze kunnen omgaan met het steeds veranderende bedreigingslandschap en dat ze in staat zijn om adequate analyses, onderzoeken en reacties op incidenten uit te voeren?
  Tot slot, als je je gebruikers en IT-medewerkers beschouwt als je eerste verdedigingslinie, wil je ze misschien ook scheiden van een tweede linie die ook verdachte activiteiten (opzettelijk of niet) van die eerste linie in de gaten houdt.
• Hoe snel moet ik een SOC in mijn omgeving integreren? Een SOC vanaf nul opbouwen kost tijd en veel geld. Door een goede externe partner te kiezen, bespaart u geld en tijd. Simpelweg door een SOC-dienst van hogere kwaliteit te leveren, met sterke SLA’s.

Vandaag de dag zijn er geen specifieke definities om het volwassenheidsniveau van een SOC te bepalen. Deze volwassenheid kan worden beoordeeld aan de hand van de middelen, processen en technologieën om de verschillende capaciteiten te leveren (zoals reactie op incidenten, bewaking en waarschuwing, informatie over bedreigingen, …). Het MITRE ATT&CK-raamwerk kan bijvoorbeeld worden gebruikt om het detectievolwassenheidsniveau te meten.

Zoals eerder besproken, is er geen “one size fits all” SOC. Er zijn echter een aantal minimale sets van middelen die sterk worden aanbevolen om mee te beginnen.

Ten eerste, op het gebied van mensen, heb je SOC-analisten nodig om je SOC uit te voeren en, zoals bij de meeste functies, zijn er verschillende expertiseniveaus. Er zijn meestal 2 of 3 SOC-analistenniveaus in de organisatie.

Een analist van niveau 1 (L1) is je “hotline”. Zij zijn verantwoordelijk voor het monitoren en identificeren van echte bedreigingen tussen valse positieven. Met duidelijke processen en procedures kunnen ze reageren op bepaalde gebeurtenissen.

Het volgende niveau (L2) heeft meer expertise en kan reageren op ernstiger bedreigingen. In het geval van geavanceerde aanvallen zoals APT’s en ransomware die diepgaande technische expertise vereisen, waaronder reverse engineering of malware-analyse, zal een L3-analist de reactie afhandelen.

Ten tweede moet er op het gebied van de belangrijkste processen een responsplan voor incidentmanagement aanwezig en gedocumenteerd zijn. Je hoeft echter niet per se te beginnen met een volledige dreigingsinformatie- of forensische capaciteit.

Tot slot wilt u qua technologie misschien beginnen met het kunnen detecteren van en snel reageren op bedreigingen die uw endpoints raken (met een EDR), zodat u snel verdachte activiteiten kunt detecteren en onmiddellijk actie kunt ondernemen, zoals het isoleren van de machine (automatisch of handmatig vanaf een console op afstand) of het inzetten van andere detectiemogelijkheden zoals honeypots.

Uiteindelijk komt het allemaal terug op business alignment en risicomanagement.

Bij het kiezen van een SOC-provider moet je rekening houden met de volgende punten:

• Als je een MKB-bedrijf bent, weet je dan zeker dat je evenveel aandacht krijgt van de grote spelers als er iets misgaat?
• Heb je echt de full stack nodig die de meeste SOC-aanbieders meestal voorstellen?
• Van waaruit opereert het SOC?
• Zijn uw gegevens veilig en blijft u GDPR-compliant?
• Welke talen ondersteunt het SOC?
• Hoe dicht sta je bij je SOC-leverancier tijdens de levenscyclus van het contract en tijdens een incident?

Veel organisaties hebben al geïnvesteerd in interne SOC-capaciteiten. Of hebben besloten om de service uit te besteden aan een externe leverancier.

Het is belangrijk om regelmatig zowel de volwassenheid als de prestaties van je SOC-capaciteiten te beoordelen.

Een volwassenheidsbeoordeling bestaat meestal uit een 360°-beoordeling van de verschillende onderdelen van je SOC. F van de governance-aspecten en de relevantie ervan (d.w.z. is het SOC nog steeds afgestemd op het risicoprofiel en de bedrijfsdoelstellingen) tot de architectuur van elke capaciteit, zoals de vaardigheden, processen en procedures en de technologie- en configuratiestapel.

Dit wordt meestal gedaan door een expert door middel van beoordelingen en interviews. Aan het eind krijgt het SOC een score toegewezen. Deze kan vervolgens worden gebenchmarkt en gebruikt als uitgangspunt voor een SOC-roadmap om je SOC-mogelijkheden uit te bouwen of te verbeteren.

Aan de andere kant kun je met het beoordelen van de prestaties van het SOC de effectiviteit van het SOC meten om een bepaald doel te bereiken. Bijvoorbeeld meten hoe snel het een laterale beweging op je interne netwerk kan detecteren. Meestal gaat het om een zogenaamde “red-team” oefening met een team van ethische hackers die gespecialiseerd zijn in hacktechnieken, -tactieken en -procedures. Het MITRE ATT&CK framework is een goede referentie om te gebruiken voor een dergelijke oefening.

Ons SOC, gerund door onze offensieve (rode team) en defensieve (blauwe team) experts, is verantwoordelijk voor het leveren van onze managed security services aan onze klanten.

Via ons European Security Operations Centre kunnen we oplossingen bieden die uw organisatie ondersteunen. Of het nu gaat om het bewaken van uw omgeving, het detecteren van kwetsbaarheden en bedreigingen en het reageren op incidenten. Samen met u beoordelen we uw huidige situatie en uw bedrijfsbehoeften om te bepalen welke functies u echt nodig hebt.

Ons hoofdkantoor bevindt zich in België, met een bijkomend leveringscentrum en datacenter in Luxemburg. Je kunt er dus zeker van zijn dat we je gegevens behandelen in overeenstemming met EU-regelgeving zoals GDPR.

Of je nu je opties overweegt, klaar bent om je eigen SOC te bouwen, je bestaande set-up wilt verbeteren of geïnteresseerd bent in een volledig beheerde service; ons team van experts kan je ondersteunen.

Ontdek meer over onze oplossingen op onze SOC-pagina.

Niet alle bedrijven, vooral SMB’s, hoeven te investeren in een volledig SOC. Het vereist aanzienlijke middelen, zowel in termen van mensen als van budget (cfr. Vraag “Heeft een SMB echt een SOC nodig?”).

Voor KMO’s bieden we een oplossing die alleen de functies bevat waar je echt van profiteert.

Ons MDR-standaardaanbod biedt de minimale mogelijkheden die nodig zijn voor een MKB-bedrijf:

• actieve monitoring in een 8×5 of 24×7 formaat, afhankelijk van uw behoeften en middelen
• geautomatiseerde aanvalsblokkering om te reageren op bedreigingen

Deze oplossing biedt u het beste rendement op uw investering in beveiliging. En we kunnen altijd uw capaciteitsvolwassenheid verhogen en uw SOC later upgraden als uw behoeften veranderen.

Bij het integreren van SOC-oplossingen in je bestaande infrastructuur letten we altijd op de volgende aspecten – sleutelfactoren om de beste beveiliging, ervaring en return on investment te krijgen:

Nabijheid en cultuur: we werken vanuit België en Luxemburg. Omdat we dicht bij onze klanten staan, begrijpen we de markteisen en uw specifieke behoeften en kunnen we snel handelen als een verlengstuk van uw team.

Conformiteit: we zijn ISO 27001 gecertificeerd. Dit toont onze toewijding aan om de gegevens en informatie van onze klanten, partners en werknemers te beschermen. We zorgen ervoor dat al onze diensten, oplossingen en technologische partners voldoen aan de Europese regelgeving zoals GDPR en dat uw gegevens in Europa blijven.

Budget- en kostenbeheersing: onze oplossingen zijn betaalbaar en u hoeft alleen te investeren in oplossingen waar u echt baat bij hebt, zodat u onnodige uitgaven beperkt en het rendement op uw investering in beveiliging maximaliseert.

Prestaties en expertise: We trainen onze mensen voortdurend om ervoor te zorgen dat ze de vaardigheden behouden die nodig zijn om u te ondersteunen. Dankzij ons CyberLab kunnen onze experts in realistische omstandigheden trainen en hun vaardigheden ontwikkelen. Dankzij ons 360° dienstenportfolio profiteren onze mensen en onze klanten ook van een solide achtergrond en expertise om hun cyberbeveiligingsstrategie te optimaliseren.