Alert-Triage und SOC-Workflow

SOC-Analysten reagieren zuerst auf Sicherheitswarnungen. Ihre Aufgabe besteht darin, schnell festzustellen, ob eine Warnung eine echte Bedrohung darstellt, Beweise zu sammeln, echte Incidents zu eskalieren und Fehlalarme zu schließen – und das in großem Umfang, oft mit Dutzenden Warnungen pro Schicht.

Warnungen werden nach ihrer Schwere eingestuft: P1 (Kritisch – aktiver Sicherheitsvorfall), P2 (Hoch – wahrscheinlicher Angriff), P3 (Mittel – verdächtige Aktivität), P4 (Niedrig/Informativ – Richtlinienverstoß oder Fehlkonfiguration).

Schritte der Triage für jede Warnung: 1) Lesen Sie die Warnung – wodurch wurde sie ausgelöst? 2) Prüfen Sie die Roh-Logs – gibt es echte Beweise? 3) Bewerten Sie den Kontext – wer/was/wo? 4) Bestimmen Sie, ob es sich um ein True Positive, False Positive oder Benign Positive handelt.

True Positive (TP): Die Warnung wurde ausgelöst und die Aktivität ist tatsächlich bösartig. False Positive (FP): Die Warnung wurde ausgelöst, aber die Aktivität ist legitim. Benign Positive: Die Warnung wurde aufgrund einer tatsächlich ungewöhnlichen, aber nicht bösartigen Aktivität ausgelöst (z. B. Penetrationstest oder Administratoraktivität).

Sammeln Sie bei der Triage Kontextinformationen: Welcher Benutzer? Welcher Host? Welche Rolle hat die Person? Entspricht dies ihrem normalen Verhalten? Was geschah davor und danach? Nutzen Sie SIEM, EDR, Threat Intelligence sowie HR- und IT-Kontext gemeinsam.

Playbooks sind dokumentierte Schritt-für-Schritt-Verfahren für gängige Warnungstypen. Sie gewährleisten eine konsistente, wiederholbare Triage und verringern die Entscheidungsmüdigkeit der Analysten. Für jeden Warnungstyp sollte ein Playbook vorhanden sein.

Wenn eine Warnung als True Positive bestätigt wurde: Eskalieren Sie an das IR-Team (P1/P2), dokumentieren Sie die Ergebnisse (Zeitachse, betroffene Assets, Angriffsvektor), sichern Sie Beweise vor der Behebung und benachrichtigen Sie die Beteiligten gemäß der Eskalationsmatrix.

Jede Warnung muss in einem Ticketing-System (Jira, ServiceNow, TheHive) dokumentiert werden: Quelle der Warnung, Ergebnisse der ersten Triage, Einstufung (TP/FP), ergriffene Maßnahmen und Grund für den Abschluss. Dadurch entsteht ein Audit-Trail und Metriken werden ermöglicht.

Wichtige Metriken sind: Mean Time to Detect (MTTD), Mean Time to Respond (MTTR), Warnungsvolumen nach Schweregrad, Fehlalarmrate pro Regel und die Anzahl der von Analysten pro Schicht geschlossenen Tickets. Nutzen Sie diese Metriken, um Qualitätsprobleme bei Regeln und Lücken bei der Personalbesetzung zu erkennen.

Die Schichtübergabe ist entscheidend: Dokumentieren Sie offene Incidents, laufende Untersuchungen und kürzlich optimierte Regeln. Der eingehende Analyst sollte genau dort weitermachen können, wo der vorherige aufgehört hat, ohne Lücken in der Abdeckung.

Hohe Fehlalarmraten führen zum Ausbrennen der Analysten und dazu, dass echte Warnungen verworfen werden. Überprüfen und entfernen Sie schlecht funktionierende Regeln regelmäßig. Eine Fehlalarmrate von über 90 % bei einer Regel bedeutet, dass sie sofort optimiert oder entfernt werden muss.

Ein effektiver SOC-Betrieb beruht auf konsistenter Triage, dokumentierten Playbooks, klaren Eskalationswegen und aussagekräftigen Metriken. Jede Warnung erhält eine dokumentierte Einstufung. Reduzieren Sie Fehlalarme konsequent, damit die Aufmerksamkeit der Analysten auf echten Bedrohungen liegt. MTTD und MTTR sind die wichtigsten Kennzahlen – sie messen, wie schnell Sie echte Incidents erkennen und auf sie reagieren.