SOC, Detection & Incident Response

Was macht ein SOC-Analyst?

Er sieht hin, während andere arbeiten. Im Security Operations Center laufen die Protokolldaten des Unternehmens zusammen – aus Servern, Endgeräten, Firewalls, Verzeichnisdiensten, Cloud-Diensten und Anwendungen. Ein SIEM wertet sie gegen Regeln aus und erzeugt Meldungen, eine EDR- oder XDR-Plattform meldet auffälliges Verhalten auf den Geräten. Die erste Aufgabe ist, aus dieser Menge die wenigen Fälle herauszuziehen, die wirklich etwas bedeuten.

Kommt ein Vorfall dazu, wechselt die Arbeit den Charakter. Dann geht es um Eingrenzen, Abschalten, Sperren, Zurücksetzen und um die Frage, wie der Angreifer hereinkam und wo er noch sitzt. Parallel läuft die Dokumentation, denn sie ist später die Grundlage jeder Meldung und jeder Aufarbeitung. Die dritte Aufgabe wird oft übersehen und ist die anspruchsvollste: Detection Engineering, also das Schreiben und Verbessern der Regeln, mit denen künftig gefunden wird, was man diesmal zu spät gesehen hat.

Wie wird man SOC-Analyst?

Dies ist der Bereich der IT-Sicherheit mit dem breitesten Zugang, und er führt über den Betrieb. Wer als Fachinformatiker für Systemintegration gelernt und ein paar Jahre administriert hat, kennt Verzeichnisdienste, Protokolle und Betriebssysteme – und genau darauf setzt die Erkennung auf. Der zweite Weg ist ein Studium der Informatik oder IT-Sicherheit, häufig dual.

Die nützlichen Nachweise sind hier eher plattformbezogen als allgemein: Zertifizierungen zur eingesetzten SIEM- oder EDR-Lösung, dazu die Prüfungen aus dem SANS-Umfeld für Vorfallbearbeitung und Analyse. Wer in die Forensik will, braucht darüber hinaus Erfahrung mit Abbildern, Zeitachsen und Beweissicherung. Ein reines Managementzertifikat hilft in diesem Beruf wenig.

Was der Beruf verlangt

Dies ist der einzige Bereich der IT-Sicherheit, in dem Schichtarbeit und Rufbereitschaft der Regelfall sind. Manche Häuser fahren einen echten Rund-um-die-Uhr-Betrieb mit Nachtschichten, andere eine Rufbereitschaft im Wechsel, viele kaufen die Nachtabdeckung bei einem Dienstleister ein. Was davon gilt, steht selten in der Anzeige und sollte vor der Zusage geklärt sein. Was Nacht- und Wechselschicht mit Schlaf und Konzentration machen, ist gut belegt und kein Charakterproblem.

Die zweite Belastung ist der Anteil der Fehlalarme. Ein großer Teil der Meldungen ist am Ende harmlos, und das dauerhaft konzentriert durchzuhalten ist schwerer als die eigentliche Analyse. Die dritte ist der Vorfall selbst: Eine Ransomware-Nacht ist kein Projekt mit Meilensteinen, sondern ein Zustand, der zwei Wochen dauert, und in den läuft die Meldepflicht aus NIS2 mit – Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden.

Aussichten

Der Bedarf wächst, und zwar aus zwei Richtungen. Immer mehr Unternehmen fallen unter Meldepflichten und müssen deshalb überhaupt erst erkennen können, was bei ihnen passiert; gleichzeitig baut ein großer Teil des Mittelstands kein eigenes SOC auf, sondern kauft es bei einem Dienstleister ein – dort entstehen die meisten Stellen. Die Fluktuation ist hoch, weil viele nach einigen Jahren aus dem Schichtbetrieb heraus wollen. Genau das öffnet die Weiterwege: Detection Engineering, Forensik, Bedrohungsanalyse, Sicherheitsarchitektur oder die Leitung eines Teams.