Wat ass e SOC (Security Operations Center)?

Ass e SOC eng Ekipp, eng Plaz oder en Instrument?

E Security Operations Center ass virun allem eng operationell Funktioun. E verbënnt Leit, Prozeduren an technesch Mëttel, fir e festgeluechte Beräich ze iwwerwaachen, verdächteg Evenementer ze erkennen, ze analyséieren an déi éischt Reaktiounsmoossnamen ze koordinéieren. De Begrëff kann eng Ekipp op enger Plaz, e verdeelte Service oder eng ausgelagerte Leeschtung bezeechnen. De Kaf vun engem SIEM, EDR oder enger Sond mécht also eleng nach kee SOC.

Dës Siicht entsprécht dem franséischen ANSSI-Referentiel PDIS v2.0, deen organisatoresch, mënschlech an technesch Fäegkeeten ëmfaasst an net nëmmen e Produit.

Wat geschitt, wann en Alarm opdaucht?

Jee no Perimeter kritt de SOC Evenementer vun Identitéiten, Endgeräter, Serveren, Applikatiounen, Cloud-Servicer an Netzwierkapparater. E setzt Signaler a Bezuch, sortéiert offensichtlech falsch Alarmer aus, baut eng Chronologie op a bewäert déi méiglech Ausbreedung. Wann en Incident plausibel ass, gëtt eng Eskalatiounsprozedur applizéiert: déi benannt Responsabel informéieren, relevant Beweiser ofsécheren an autoriséiert Moossname proposéieren oder ausléisen.

D'Qualitéit vun de Logbicher ass entscheedend. D'Recommandatioune vun der ANSSI zur Journaliséierung behandelen d'Sammelarchitektur, de Schutz vun de Spueren an hir Notzung, fir en Incident z'erkennen an ze verstoen.

Wien decidéiert a wien handelt?

De SOC däerf seng Befugnisser net eréischt an der Kris improviséieren. D'Prozedure musse festleeën, wien en Endgerät isoléieren, e Kont blockéieren, e Service stoppen, d'Direktioun kontaktéieren oder Spezialisten aschalte kann. E SOC kann detektéieren a koordinéieren, ouni all technesch Aktioun selwer auszeféieren. En ersetzt weder d'IT nach d'Direktioun oder d'Meldeflichte vun anere Funktiounen.

Eng PME kann en internen, externen oder hybride Modell wielen. D'Wiel hänkt vun den erwaachten Iwwerwaachungszäiten, de verfügbare Kompetenzen, der Sensibilitéit vun de Systemer an der erwaarter Reaktiounszäit of. Eng Iwwerwaachung „24/7“ däerf nëmmen ugekënnegt ginn, wann d'Personal, d'Kontrakter an d'Prozeduren dat wierklech garantéieren.

Wéi gëtt d'Wierksamkeet gemooss?

D'Zuel vun de behandelten Alerten ass eleng kee Resultat. Méi nëtzlech sinn déi tatsächlech Ofdeckung vun de kritesche Systemer, d'Zäit bis zur Bewäertung, d'Zäit bis zur Aktioun, den Undeel vun irrelevanten Alerten, d'Resultater vun Übungen an d'Behiewe vun de festgestallten Ursaachen. Dës Indicateure mussen zu konkrete Verbesserunge féieren.

E Lëtzebuerger Fall: wat no der Attack ze maache war

An der Nuecht vum 22. op den 23. Juli 2022 huet d’Lëtzebuerger Energiegrupp Encevo eng Cyberattack erlieft, déi hir Entitéiten Creos an Enovos getraff huet. D’Clientsportaler sinn ausgefall; d’Stroum- a Gasversuergung war net ënnerbrach.

De ganzen Oflaf steet am Artikel Ransomware beim Syndic an Dateleck. Hei interesséiert dat, wat duerno koum: wat d’Entreprise huet misse maachen, an a wéi enger Reiefolleg. Genee dat ass d’Leeschtung vun engem SOC, a bal näischt dovunner ass technesch.

• Qualifizéieren. Feststellen, wat betraff ass a wat net. Hei: d’Portaler, jo; d’Verdeelungsnetz, nee. Dës Ënnerscheedung huet erlaabt weider ze liwweren.
• Plainte maachen bei der groussherzoglecher Police.
• D’Autoritéite benoriichtegen — d’CNPD fir perséinlech Donnéeën, d’ILR als Regulateur vum Secteur, an déi zoustänneg Ministèren.
• Analyséieren wat fortgaang ass, fir ze wëssen, wat de betraffene Persounen ze soen ass.
• Kommunizéieren, och fir ze soen, wat nach funktionéiert.

E SOC gëtt net no der Feinheet vu senge Instrumenter gemooss, mä no senger Fäegkeet, dës Suite ze leeschten, ouni ze zécken, wien wat mécht.

Wat eng KMU décidéiere muss

E Betrib mat zwanzeg Leit wäert kee eegene SOC hunn, a brauch och keen, fir déi folgend Froen ze beäntweren. Si leeë fest, wien um Dag X wat mécht.

• Wien rifft een un, an op wéi eng Nummer? Den IT-Prestataire, de Versécherer, CIRCL. Dës Lëscht passt op eng Säit, a si muss ausserhalb vum Informatiounssystem existéieren: e Rançongiciel verschlësselt och de Fichier mat de Kontakter.
• Wien décidéiert ofzeschalten? E verdächtege Server vum Netz ze huele kascht Geschäft. D’Persoun mat dëser Befugnis gëtt am Viraus benannt an ass um Weekend erreechbar.
• Wéi eng Aktivitéite musse ouni Informatik lafen, a wéi laang? Liwweren, fakturéieren, Léin bezuelen, Dieren opmaachen. D’Äntwert gëtt d’Reiefolleg fir d’Erëmuginn.
• Wien schwätzt mat de Clienten, a wat gëtt gesot? Schweigen fält méi op wéi eng onvollkomme Kommunikatioun.
• Weess een, wéi d’CNPD an de Fristen ze benoriichtegen ass? Eng Verletzung vum Schutz vu perséinlechen Donnéeë gëtt ouni ongerechtfäerdegt Verzögerung gemellt, a prinzipiell bannent 72 Stonnen. Ze wëssen, wien dës Notifikatioun schreift, ass eng Entscheedung, keng technesch Fäegkeet.

Quellen

Linken iwwerpréift den 28. September 2026.

• Encevo, Pressecommuniqué zur Cyberattack, 2022: encevo.eu (PDF, op Franséisch).
• Paperjam, „Creos et Enovos victimes d’une cyberattaque“: paperjam.lu.
• Le Quotidien, „Cyberattaque contre Encevo : une rançon réclamée par les BlackCat“: lequotidien.lu.
• CIRCL, Lëtzebuerger Zentrum fir Reaktioun op Tëschefäll: circl.lu.
• Nationale Cybersécherheetsportal: cybersecurite.lu.

D'Roll vun de Sensoren erkläert Cybersécherheets-Sond: Definitioun, Notzen a Grenzen. Den Ënnerscheed tëscht Schwachstell an Incident behandelt Wat ass eng Sécherheetslück?.