IT-Security-Analysten schauen sich an, welche im SIEM-Tool hinterlegte Regel den Alarm ausgelöst hat und gehen dann ins Detail.

Es kommt vor, dass sich diese Alarme als „False Positive“ entpuppen, also als falscher Alarm.

Im anderen Fall wissen unsere IT-Security-Analysten, welche Maßnahmen bei einem Angriff zu ergreifen sind und leiten diese ein.

Jeder IT-Security-Alert wird von IT-Security-Analysten sauber dokumentiert.

Nach Detektion kommt Reaktion
Security Incident Response – bei Sicherheitsvorfällen gezielt und schlagkräftig handeln
 

Was machen wir, wenn es passiert ist?
Jeder Security Incident ist ein Notfall, den wir zügig, strukturiert und zielführend angehen.
Im Falle eines Sicherheitsvorfalls (Security-Incident) alarmieren IT-Security-Analysten der ConSecur GmbH die hauseigene IT über vorab definierte Meldewege und leiten die Security-Incident-Response ein.

Die Security-Incident-Response ist das gemeinsame, schlagkräftige Handeln von hauseigener IT-Abteilung und Cyber Defense Center, um Sicherheitsvorfälle abzuwehren und Schaden von Netzwerk-Infrastrukturen abzuwenden.

„Welche Artefakte enthält der Quellcode? Worauf deuten diese Spuren hin? Gibt es Erfahrungswerte mit vergleichbaren IT-Security-Alerts? In der Incident-Response geht es um gezieltes, zügiges Handeln.“

Karolina Czerkowski, Security Operations Lead

Konkret ergreifen wir im CDC Erstmaßnahmen wie ein Notarzt, der an der Unfallstelle angekommen ist und Betroffene versorgt: Wir isolieren die Systeme, die das Ziel des Angriffs geworden sind, sodass sich Schäden nicht oder nicht weiter ausbreiten. Im zweiten Schritt bereinigen wir die Systeme, sodass im dritten Schritt der Übergang zum gewohnten Regelbetrieb erfolgt.

Dieses geschlossene, eingespielte Handeln ist das Ergebnis einer nahtlosen Zusammenarbeit, die wir bei ConSecur für die größtmögliche Schutzwirkung anstreben.

IT-Security-Engineers entwickeln Regeln zur automatischen Angriffserkennung
 

Wäre es nicht gut, wiederkehrende Angriffe ohne menschliches Analysieren automatisch identifizieren zu können?
Wir teilen diese Auffassung und haben deshalb das intelligente Regelwerk etabliert.

Das intelligente Regelwerk ist eine valide Grundlage, wiederkehrende Ereignisse anhand charakteristischer Muster automatisiert zu erkennen.

Das gilt sowohl für False Positives als auch für Cyber-Angriffe.

Diese Automatisierung beginnt mit der Arbeit des IT-Security-Engineers, der im Cyber Defense Center unter anderem dafür zuständig ist, bekannte Ereignisse in eine Regel zu überführen und diese in die Detektionsmechanismen zu integrieren.

Die Entwicklung und Implementierung neuer Regeln in das SIEM-Tool ist ein durchlaufender Prozess, der maßgeblich ist für den reibungslosen Betrieb des Cyber Defense Centers. 

Sauber aufgesetzte Regeln

• identifizieren bekannte Angriffsmuster als „bekannte“ Bedrohungen automatisch,
• reduzieren das Grundrauschen der False Positives, die in jeder Schicht Aufmerksamkeit binden, und
• vereinfachen die analytische Arbeit im Cyber Defense Center, Bedrohungen rechtzeitig den Stecker zu ziehen.

„Ich habe zehntausend Fälle gesehen, die alle das gleiche Muster aufweisen. Und dennoch werde ich den 10001 mit der gleichen Demut angehen wie meinen ersten.“

Linus Köhn, IT-Security-Analyst der ConSecur GmbH, über die Securiosity im Cyber Defense Center, die alle Mitarbeiterinnen und Mitarbeiter verbindet.

SECURIOSITY – was die Menschen im Cyber Defense Center der ConSecur GmbH auszeichnet
 

Es gibt Menschen, die leidenschaftlich gerne kochen, Karten spielen oder heimwerken.

Im Cyber Defense Center teilen wir die Leidenschaft, neugierig zu sein.

Wir sind Fachleute für Informationssicherheit, die mit Hingabe Angreifern auf die Schliche kommen wollen, die in IT-Systeme eindringen möchten.
 

Diese Verbindung aus IT-Security-Wissen, Verantwortungsbewusstsein und detektivischem Ansporn nennen wir Securiosity.

„Securiosity ist etwas, das du nicht lernen kannst. Securiosity hast du, oder du hast sie nicht.“

Stephan Ilic, Manager Cyber Defense Center der ConSecur GmbH

Securiosity ist der Antrieb, der uns alle im Cyber Defense Center verbindet.

Es ist diese Denkweise, so viele Informationen zu sammeln und so viele Assoziationsketten zu bilden, bis wir diesen Clou gefunden haben, der uns auf die Spur des vermeintlichen Sicherheitsvorfalls bringt

Securiosity ist auch die Verantwortung, zu getroffenen Entscheidungen zu stehen; wenn Handeln bei unbekannten Vorfällen ein zweites Augenpaar erfordert, um eine Entscheidung abzusichern oder einen alternativen Weg zu gehen.

Einstellungssache – wie erkennen wir Securiosity?
Auf Stellen im Cyber Defense Center bewerben
 

Securiosity ist Einstellungssache.
Bei den meisten Bewerbern erkennen wir schon während des Einstellungsgesprächs an der Nasenspitze, ob sie Securiosity besitzen oder nicht.

An der Nasenspitze erkennen meint, etwas an jemandem zu erkennen, etwas an jemandem zu spüren, etwas zu fühlen. In diesem Fall ist es die Erfahrung, ein Vorstellungsgespräch zu führen, und sich vorstellende Bewerber innerhalb einer kurzen Zeit einzuordnen.

In der Regel bieten wir denjenigen, bei denen wir uns sicher sind, noch im selben Gespräch die Perspektive, bei uns im Cyber Defense Center als Werkstudent, IT-Security-Analyst, IT-Security Engineer oder in einer anderen Position zu arbeiten.

Werkstudenten oder Absolventen, die in der Regel ihr Masterstudium der IT-Sicherheit oder der Informatik abschließen oder abgeschlossen haben, erlernen bei uns in einer halbjährigen Ausbildung die Tätigkeit des IT-Security-Analysten.

Diese Ausbildung, die Werkstudenten parallel zu ihrem Studium absolvieren, ist Teil des Kataloges der ConSecur Academy, die IT-Fachkräfte zu Spezialisten in der Informationssicherheit fortbildet.
 

Von einer Schicht im Cyber Defense Center zur anderen - Informationen müssen fließen
 

Im Cyber Defense Center löst alle acht Stunden die eine Schicht die andere ab. In Übergaben teilen wir die wichtigsten Ereignisse und bringen die Folgeschicht auf Stand.

„Was unser Cyber Defense Center verlässt, muss höchsten Ansprüchen genügen.“

Stephan Ilic, Manager Cyber Defense Center

Wir wissen, dass erfolgreiche Cyber Defense Teamarbeit ist. Selbst die fortschrittlichste Technologie ist nur dann eine wirksame Unterstützung, wenn die handelnden Köpfe das Wesentliche im Blick haben und abgestimmt zusammenarbeiten.

Deshalb achten wir darauf, Informationen nach Relevanz zu selektieren.

Diese Kultur des Miteinanders pflegen wir im Cyber Defense Center jeden Tag.

Managed Cyber Defense für Unternehmen und Organisationen aufbauen - wie ConSecur dabei vorgeht
 

Die Daseinsberechtigung einer Cyber Defense ist, Sicherheitsvorfälle zu erkennen, bevor Schlimmeres passiert ist. Dieses systematische System der Früherkennung funktioniert, wenn Cyber Defense sauber aufgesetzt und ihre Bedeutung in den Köpfen aller Beteiligter angekommen ist.

Wir gehen von Anfang an sehr gründlich vor. Das tun wir aus Erfahrung und im beidseitigen Interesse.

„Wir wissen, dass Kunden uns einen Vertrauensvorschuss geben. Was auf keinen Fall passieren darf, ist, dass wir einen Security-Incident nicht erkennen.“

Stephan Ilic

Die Vorbereitung, an der im Idealfall alle Ansprechpartner beteiligt sind, beginnt mit der Bestandsaufnahme von Netzwerkinfrastrukturen, Prozessen und Tools.

In der Bestandsaufnahme werden wir auch danach fragen, welche Erwartungshaltung die Beteiligten mit dem Aufbau sowie mit dem laufenden Betrieb eines Managed Cyber Defense Centers verbinden? Welche „dos and don’ts“ gibt es?

Nach der Vorbereitung, die in verschiedenen Workshops stattgefunden haben wird, werden wir IT-Landschaft und Infrastruktur-Details aus dem Effeff kennen.

Bevor die Managed Cyber Defense ihren Betrieb aufnehmen kann, sind Runbooks entwickelt, interne Prozesse mit der Cyber Defense verzahnt und Aufgabe definiert worden.

Auch in der Folgezeit werden wir dem Operationalisieren viel Aufmerksamkeit widmen, sodass Abläufe eingespielter werden und der Fokus auf dem reibungslosen Betrieb der Cyber Defense liegt.

Cyber Threat Intelligence
Wissen, welche Bedrohungen weltweit auf dem Vormarsch sind
 

Was brüten Internet-Kriminelle aus? Was wird auf IT-Netzwerke von Unternehmen und Organisationen zukommen?

Die Cyber Threat Intelligence im Cyber Defense Center beschäftigt sich mit den Cyber-Angriffen von morgen.

Aufgabe der Abteilung ist, aus verschiedenen Quellen Hinweise auf Bedrohungen zusammenzutragen und in Dossiers zusammenzustellen.

Diese Ausführungen geben Hinweise auf beobachtete Angriffstechniken, die die Ausgangsposition von IT-Security-Analysten und IT-Security-Engineers im Cyber Defense Centers entscheidend verändern können.

Mit den Dossiers aus der Cyber Threat Intelligence sind wir vorbereitet auf das, was wächst und gedeiht: Wir können entsprechende Maßnahmen einleiten, um Angreifern einen Schritt voraus zu sein.