NCSC warnt: Die falschen SOC-Kennzahlen können den Sicherheitsbetrieb schwächen

Das britische National Cyber Security Centre warnt, dass Organisationen ihre Security Operations Center (SOCs) schwächen könnten, wenn sie sich auf die falschen Leistungskennzahlen konzentrieren. In einem aktuellen Beitrag erklärte die Behörde, dass leicht zu zählende, aber für die tatsächlichen Sicherheitsergebnisse wenig aussagekräftige Kennzahlen das Verhalten von Analysten verzerren und die Fähigkeit des Teams verringern können, echte Bedrohungen zu erkennen.

SOCs sind darauf ausgelegt, Protokolle zu überwachen, Warnmeldungen zu untersuchen und auf Sicherheitsvorfälle zu reagieren. Ihr Betrieb ist jedoch auch kostspielig. Deshalb versuchen viele Organisationen, ihren Nutzen anhand vertrauter IT-Kennzahlen wie der Anzahl von Tickets, Bearbeitungszeiten und anderen einfachen Serviceindikatoren zu bewerten. Nach Ansicht des NCSC können diese Zahlen irreführend sein, wenn sie auf die Sicherheitsarbeit angewendet werden.

Beispiele für problematische Kennzahlen

• Bearbeitete Tickets: Wenn Analysten hauptsächlich nach ihrem Durchsatz bewertet werden, könnten sie dazu gedrängt werden, Warnmeldungen schnell zu verwerfen, anstatt sie ordnungsgemäß zu untersuchen.

• Zeit bis zum Schließen von Tickets: Kürzere Bearbeitungszeiten können vorschnelle Entscheidungen bei Fehlalarmen fördern, statt eine sorgfältige Triage zu unterstützen.

• Anzahl der Erkennungsregeln: Das Zählen von Regeln kann einen Anreiz schaffen, mehr Warnmeldungen zu erzeugen, statt bessere Warnmeldungen zu erstellen. Dies führt zu Rauschen und einer „Warnmeldungsinflation“.

• Umfang der gesammelten Protokolle: Eine große Menge eingehender Protokolldaten verbessert die Erkennung nicht automatisch – insbesondere dann nicht, wenn die Daten unvollständig oder fehlerhaft konfiguriert sind oder nie für aussagekräftige Warnmeldungen genutzt werden.

Die Behörde erklärte, sie habe Organisationen erlebt, bei denen die übermäßige Konzentration auf diese Kennzahlen die Effektivität der SOCs beeinträchtigte. In einigen Fällen sammelten Teams große Datenmengen, ohne zu überprüfen, ob diese nützlich waren. In anderen Fällen wurden Analysten dazu angehalten, Geschwindigkeit über Qualität zu stellen.

Nach Angaben des NCSC ist der deutlichste Maßstab für die Leistung eines SOC, ob Angriffe schnell erkannt und behandelt werden. Zu den gängigen Indikatoren zählen die Zeit bis zur Erkennung und die Zeit bis zur Reaktion. Die Behörde weist jedoch darauf hin, dass diese Werte in der Praxis schwer zu beurteilen sein können, da erfolgreiche Angriffe selten auftreten können.

Um die Unsicherheit zu verringern, empfiehlt das NCSC, Red-Team- und Purple-Team-Übungen durchzuführen. Dabei werden Angriffe simuliert und es wird getestet, ob das SOC sie unter realistischen Bedingungen erkennen und bewältigen würde.