CANCOM Cyber Defense Services

Das CANCOM „SOC as a Service“-Modul besteht aus drei Kernelementen.

• Automatisierte Analyse und Erkennung von Angriffen
• CANCOM Cyber Defense Analysten & Architekten
• Cyber Defense- und Incident Response-Prozesse

Für die automatisierte Analyse und Erkennung von Angriffen wird eine SIEM (Security Information & Event Management) Lösung auf Basis von IBM QRadar verwendet. Dieses nimmt zunächst Daten aus unterschiedlichen, definierten Quellen auf. Anschließend werden diese Daten normalisiert, analysiert und korreliert. Zu den Quellen zählen sowohl klassische Security Komponenten als auch Applikationen und heutzutage vor allem Cloud Dienste. Das Ergebnis sind intelligente Alarmierungen an die CANCOM Security Analysten.

Durch Threat Intelligence und Informationen über Bedrohungen, wie etwa Schadprogramme oder Tätergruppen, können unsere Analysten zudem kundenspezifische Ereignisse mit globalen Bedrohungen verknüpfen.

Folgende konkrete Leistungen sind enthalten:

• Einbindung definierter IT Systeme
• Automatisierte Korrelation und Analyse der Daten
• Automatische Einstufung der Gefährdung durch abgestimmtes Regelwerk
• 1st Level Analyse und Bewertung der korrelierten Events
• Weiterführende 2nd Level Analyse unter Einbindung der Threat Intelligence
• Alarmierung und Unterstützung des Kunden im Gefahrenfall
• Archivierung der Ereignisse (Events) und der Sicherheitsvorfälle (Incidents)
• Laufende Anpassung und Optimierung des SIEM Systems
• Toolbasiertes Reporting über Historie und Trends der Ereignisse (Events) sowie Vorfälle (Incidents)
• Erstellung von Reports für Compliance Anforderungen (ISO 27001, etc.).

Als Erweiterung zu SOC as a Service bietet CANCOM den Incident Response.

Damit können Angriffe auf Basis der gemeinsam definierten Prozeduren (Runbooks) zu jeder Zeit abgewehrt werden – unabhängig von den Betriebszeiten sowie von der Frage, ob die Mitarbeiter des Kunden gerade verfügbar sind. Durch die im Runbook festgelegten Handlungen lassen sich Angriffe abwehren oder Schäden minimieren.

Zusätzlich zu den SOC as a Service–Leistungen bietet der Incident Response:

• Aktivierung des CANCOM Incident Security Response (ISR) im Gefahrenfall
• Durchführung der abgestimmten Prozeduren zur Gefahrenabwehr (Runbook)
• Erweitertes Security Response Reporting

Für einen sicheren IT-Betrieb ist es inzwischen essenziell, mögliche Schwachstellen zu erkennen. Durch Trends wie Digitalisierung und IoT entstehen oft heterogene und hochkomplexe IT-Landschaften, welche nicht mehr zentral gemanagt werden.

Das optionale Schwachstellen-Management prüft die Zielsysteme auf bekannte und mögliche Schwachstellen. Mithilfe dieser Informationen lassen sich Bedrohungen gezielt bewerten. Das ermöglicht, den aktuellen Sicherheitsstand der IT-Umgebung zu erkennen und zu dokumentieren. Die gewonnen Informationen können in das SIEM System automatisch integriert werden, um Bedrohungen dadurch noch schneller zu identifizieren.

Folgende Leistungen sind konkret enthalten:

• Erkennen von IT-Schwachstellen mit anschließender Dokumentation
• Der Schwachstellen Scan der Zielsysteme überprüft erreichbare Dienste und deren Versionen auf Schwachstellen
• Empfehlung und Informationen über notwendige Maßnahmen (z.B. Patching, Rekonfiguration, etc.)
• Alarmierung bei Erkennung neuer Systeme mit entsprechenden Schwachstellen
• Optional: Einbindung in das SIEM System