Broadcast Defense 6: Konsequentes 24/7-Monitoring

Teil 6 der Serie behandelt 24/7-Monitoring.

Basiswissen: Was bedeutet 24/7-Monitoring wirklich?

Der Begriff 24/7-Monitoring wird häufig verwendet, aber selten präzise erklärt. Im Kern bedeutet er, dass Systeme rund um die Uhr überwacht werden, durch eine Kombination aus automatisierten Systemen und Menschen, die gemeinsam dafür sorgen, dass ungewöhnliches Verhalten nicht erst Tage später auffällt.

Wie das in der Praxis aussieht

Automatisierte Systeme erfassen kontinuierlich Daten aus verschiedenen Quellen, Netzwerkverkehr, Systemprotokolle, Zugriffsversuche, Konfigurationsänderungen und gleichen sie mit bekannten Mustern ab. Bei Auffälligkeiten wird Alarm geschlagen.
Die zweite Ebene ist der menschliche Faktor: Analysten bewerten diese Auffälligkeiten und entscheiden, ob es sich um einen echten Vorfall, einen Fehlalarm oder eine geplante Änderung handelt.

Das SOC bei Riedel Networks.

Das SOC von Riedel Networks funktioniert nach diesem Prinzip: Es stellt Tools bereit, die Protokolldaten sammeln, korrelieren und auswerten, um relevante Sicherheitsereignisse zu erkennen. Auf Vorfälle wird mit einer Mischung aus automatisierten Technologien und menschlichem Eingreifen reagiert. Grundlage bilden zuvor mit dem Kunden abgestimmte Playbooks. Um Alarme zu priorisieren und einzuschätzen, welche Ereignisse echte Sicherheitsvorfälle darstellen, greifen die SOC-Mitarbeiter auf umfangreiches Know-how über das jeweilige Geschäftsumfeld und die aktuelle Bedrohungslandschaft zurück. Sobald ein Vorfall entdeckt wird, meldet das SOC die Bedrohung dem IT-Sicherheitsbeauftragten des Kunden und unterstützt dabei, diese zu entschärfen.

Warum die Geschwindigkeit entscheidend ist

Der zentrale Unterschied zu einer klassischen, periodischen Sicherheitsprüfung liegt im Faktor Zeit. Eine offene Lücke wird womöglich bei einer vierteljährlichen Prüfung erst beim nächsten geplanten Termin entdeckt, im schlechtesten Fall Wochen oder Monate, nachdem sie entstanden ist.

So könnte es aussehen wenn Hacker das Live-Programm übernehmen.

Bei durchgehendem Monitoring kann derselbe Zustand im besten Fall innerhalb von Minuten auffallen. Grundsätzlich ist das für jede Branche relevant, denn Angriffe halten sich nicht an Geschäftszeiten.

Im Media- und Broadcast-Bereich kommt jedoch ein entscheidender Unterschied hinzu: Viele Inhalte werden live übertragen. Während ein Sicherheitsvorfall in anderen Branchen oft zunächst im Verborgenen bleibt und sich erst später auswirkt, zeigen sich Störungen bei einer Live-Übertragung sofort und unmittelbar sichtbar für das Publikum, etwa durch einen Bildausfall, eine unterbrochene Übertragung oder kompromittierte Inhalte auf Sendung. Wird eine Auffälligkeit frühzeitig erkannt, bevor sie sich auf die eigentliche Sendung auswirkt, bleibt Zeit zu reagieren, ohne dass Zuschauer davon überhaupt etwas mitbekommen. Ohne diese frühzeitige Erkennung wird ein Sicherheitsvorfall im schlimmsten Fall erst dann bemerkt, wenn er bereits live auf Sendung sichtbar ist, und damit öffentlich, unmittelbar und kaum noch zu korrigieren.

Was 24/7-Monitoring nicht ist

Wichtig ist auch die Abgrenzung: 24/7-Monitoring ersetzt keine grundlegende Absicherung von Systemen und ist kein Garant dafür, dass jeder Vorfall verhindert wird. Es reduziert jedoch die Zeitspanne zwischen Entstehung eines Vorfalls und dessen Erkennung erheblich und genau diese Zeitspanne entscheidet in vielen Fällen über das tatsächliche Ausmaß eines Vorfalls.

Seite 1: Basiswissen 24/7-Monitoring
Seite 2: Angriffstyp des Monats: KI-Crawler
Seite 3: Sicherheitsvorfall des Monats: KI-Crawler bei der Versicherung
Seite 4: Stimme der Branche: Wie viel ist noch echt?