SOC ist nicht gleich SOC

August 1, 2022

Was macht den Unterschied?

Bekanntlicherweise ist die Aufgabe eines SOC die Identifizierung von Angriffsszenarien durch die Analyse von Ereignissen und Datenströmen innerhalb der IT-Infrastruktur.
Angriffsszenarien gibt es viele! Um diese zu strukturieren und in eine zeitliche Reihenfolge zu bringen, wird oft das von Lockheed Martin entwickelte Model der Cyber Kill Chain verwendet.

Quelle: https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html

Demnach beginnt ein typischer Angriff mit der Reconnaisance (Erkundung oder Auskundschaftung des Opfers).

Nachfolgend sehen Sie Beispiele, welche Informationen typischerweise in der Erkundungsphase gesammelt werden (RECON):

Das Problem bei den meisten SOC-Lösungen: Das Ausspionieren des Opfers (RECON) bekommt man nicht mit!
Das wäre aber sehr wichtig, denn je früher man in der Angriffs-Kette interveniert, desto besser! Oder je später, desto größer ist die Gefahr und bei Exfiltration ist es zu spät!

Was kann man also tun, um möglichst schon die Aktivitäten in der Recon-Phase mit zu bekommen?

‍
Die einzige Möglichkeit, die wir sehen ist der kontinuierliche Einsatz von leistungsfähigen OSINT-Tools um die öffentlich verfügbaren Informationen und Schwachstellen einer Organisation einzusammeln und im SOC zu verarbeiten. Bei Bedarf kann man dabei sehr tief ins Darknet eintauchen und in bestimmten Foren nach Schwachstellen und gefährlichen Daten suchen, die dort gehandelt werden. Nur so erreicht man Chancengleichheit gegen Angreifer und kann ihnen im besten Fall zuvor kommen!
Das macht nach unserer Überzeugung auch den Unterschied zwischen einem traditionellen SOC und unserem Angebot aus, das wir zusammen mit unserem Partner Würth Phoenix offerieren:

Zum besseren Verständnis noch ein Beispiel aus der Praxis:
Oft werden zur Vorbereitung von Pishing Angriffen ähnliche Domänen wie die des Opfers angemeldet (siehe Bild 2; domain pishing)
Z. B. wenn wir eine Firma mit der Domäne www.einefirma.de mit einer Pishing-Attacke angreifen möchten, könnten wir www.eine-firma.de oder www.eine.firma.de oder www.einfirma.de oder ähnliche Domänen anmelden.
Diese Informationen würde unser SOC durch kontinuierliche Scans unseres Scanners Satayo erhalten und korreliert diese mit Informationen (Logs) von Gateways, Firewalls, Clients, Endpoints usw. Man würde auch mitbekommen, ob schon E-Mails von diesen Fakeaccounts angekommen sind? Natürlich sollte man dann umgehend Maßnahmen ergreifen, um E-Mails von diesen Pishing-Domänen zu unterbinden!

‍

Haben wir Ihr Interesse geweckt?

Sprechen Sie uns an. Wir beraten Sie gerne! Hier geht es zum Kontaktformular!

Not all SOCs are the same

August 1, 2022

SATAYO

What makes the difference?

As is well known, the task of a SOC is to identify attack scenarios by analyzing events and data flows within the IT infrastructure.
There are many attack scenarios! In order to structure them and put them in chronological order, the Cyber Kill Chain model developed by Lockheed Martin is often used.

Source: https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html

Accordingly, a typical attack begins with the reconnaisance (exploration or scouting of the victim).
Below are examples of what information is typically gathered in the reconnaissance phase (RECON):

The problem with most SOC solutions: The spying on the victim (RECON) is not noticed!
But that would be very important, because the earlier you intervene in the attack chain, the better! Or the later, the greater the danger and with exfiltration it is too late!

So what can be done to get the activities in the Recon phase as early as possible?

‍
The only possibility we see is the continuous use of powerful OSINT tools to collect the publicly available information and vulnerabilities of an organization and process them in the SOC. If necessary, this can involve diving very deep into the darknet and searching specific forums for vulnerabilities and dangerous data that is traded there. This is the only way to achieve equal opportunities against attackers and, in the best case, to get ahead of them!
We are convinced that this is what makes the difference between a traditional SOC and our offer, which we provide together with our partner Würth Phoenix:

For a better understanding, here is a practical example:
Often, domains similar to the victim's are registered in preparation for pishing attacks (see Fig. 2; domain pishing)
Z. For example, if we want to attack a company with the domain www.einefirma.de with a pishing attack, we could register www.eine-firma.de or www.eine.firma.de or www.einfirma.de or similar domains.
This information would be obtained by our SOC through continuous scans of our scanner Satayo and correlates it with information (logs) from gateways, firewalls, clients, endpoints, etc. One would also notice if emails have already arrived from these fake accounts? Of course, one should then take immediate action to stop emails from these pishing domains!

‍

Have we aroused your interest?
Please contact us. We will be happy to advise you! Click here for the contact form!

Gravitate

SOC ist nicht gleich SOC

Was kann man also tun, um möglichst schon die Aktivitäten in der Recon-Phase mit zu bekommen?

Not all SOCs are the same

So what can be done to get the activities in the Recon phase as early as possible?