Das Projekt bestand aus zwei Phasen. Zunächst konzentrierten wir uns auf die Überprüfung und Optimierung der Regeln in Microsoft Sentinel. Anschließend integrierten wir unser SOC-Team und übernahmen die operative Integration.

Überprüfung und Optimierung der Regeln

Um die bestehenden Regeln zu analysieren und gezielt zu optimieren, verfolgte unser Team einen stufenweisen Ansatz:

• Initiale Analyse Durchführung einer umfassenden Überprüfung der bestehenden Sentinel-Regeln mit besonderem Fokus auf diejenigen, die hohe Mengen an False Positives verursachten.

• Regeloptimierung Anpassung von Schwellenwerten und Bedingungen, um reale Bedrohungen präziser abzubilden. Wir analysierten False Positives, identifizierten wiederkehrende Muster und optimierten redundante oder fehlerhaft konfigurierte Regeln.

• SOAR-Integration Implementierung von Playbooks und Automatisierungsskripten zur effizienteren Bearbeitung echter Sicherheitsvorfälle sowie zur Automatisierung von Incident-Response-Maßnahmen, wodurch der manuelle Aufwand reduziert wurde.

• Umfassende Validierung und Tests Durchführung umfangreicher Tests, um sicherzustellen, dass die Regelanpassungen die Anzahl der False Positives effektiv reduzierten und die SOAR-Konfigurationen wie vorgesehen funktionierten.

Onboarding des SOC-Teams und operative Integration

• Integration unseres SOC-Teams Onboarding unseres SOC-Teams in die Umgebung und Toollandschaft des Kunden sowie detaillierte Briefings zu dessen spezifischer Sicherheitsarchitektur und Anforderungen.

• Gemeinsame Prozessanalyse Durchführung kollaborativer Prozess-Workshops zur Analyse bestehender Security-Prozesse sowie zur Identifikation von Schwachstellen und Optimierungspotenzialen.

• Threat-Hunting-Aktivitäten (TH) Einsatz fortschrittlicher Suchabfragen und Analyseverfahren in regelmäßigen Intervallen, um potenzielle Bedrohungen proaktiv zu identifizieren.

• Threat Intelligence (TI) Nutzung integrierter Threat-Intelligence-Feeds und Entwicklung standardisierter Prozesse zur Verbesserung von Erkennungs- und Reaktionsfähigkeiten.

• Kontinuierliches Monitoring Einführung von Monitoring-Praktiken, Dashboards und Reporting-Mechanismen zur Bereitstellung von Echtzeit-Einblicken und Trendanalysen sowie zur Sicherstellung kontinuierlicher Überwachung.

Übergang zum vollständigen operativen Betrieb Übernahme sämtlicher Aufgaben im Bereich Security Monitoring und Incident Response bei gleichzeitig enger Abstimmung mit dem Kunden, um die Ausrichtung an dessen Sicherheitszielen jederzeit sicherzustellen..

Die Beiträge unseres Cybersecurity-Teams ermöglichten folgende Ergebnisse:

• Reduzierte False Positives Deutliche Verringerung der False-Positive-Alerts, wodurch sich das Security-Team des Kunden auf tatsächliche Bedrohungen konzentrieren konnte.

• Erweiterte Automatisierung Verbesserte Effizienz und schnellere Reaktionszeiten durch die Integration von SOAR-Funktionalitäten.

• Proaktive Sicherheitsstrategie Etablierung robuster Prozesse für Threat Hunting und Threat Intelligence.

• Reibungsloser Betrieb Unser SOC-Team stellte konsistente und effektive Security Operations sicher, die vollständig an den Sicherheitszielen des Kunden ausgerichtet waren.