Die Zukunft der SOCs: Von traditionellen SIEMs zu modernen NDR-Lösungen

LONDON (IT BOLTWISE) – In der sich schnell entwickelnden Welt der Cybersicherheit stehen Security Operations Centers (SOCs) vor immer größeren Herausforderungen. Die zunehmende Komplexität der Bedrohungslandschaft und die wachsenden Datenmengen stellen traditionelle Sicherheitsinformations- und Ereignismanagementsysteme (SIEMs) auf die Probe.

Die Sicherheitsoperationen von Unternehmen sind zunehmend überfordert. Die Menge an Log-Daten steigt exponentiell, während die Bedrohungslandschaft immer komplexer wird. Gleichzeitig sind die Sicherheitsteams chronisch unterbesetzt. Analysten kämpfen täglich mit einem Übermaß an Alarmen, fragmentierten Tools und unvollständiger Datensichtbarkeit. In diesem Kontext ermutigen immer mehr Anbieter zur Migration von On-Premises-SIEM-Lösungen zu SaaS-Modellen. Doch dieser Übergang verstärkt oft die inhärenten Schwächen traditioneller SIEM-Architekturen.

SIEMs sind darauf ausgelegt, Log-Daten zu verarbeiten – je mehr, desto besser, so die Theorie. In modernen Infrastrukturen wird das logzentrierte Modell jedoch zunehmend zum Engpass. Cloud-Systeme, OT-Netzwerke und dynamische Workloads generieren exponentiell mehr Telemetrie, die oft redundant, unstrukturiert oder in unlesbaren Formaten vorliegt. SaaS-basierte SIEMs stehen vor finanziellen und technischen Herausforderungen: Preismodelle, die auf Ereignissen pro Sekunde oder Flows pro Minute basieren, können zu exponentiellen Kostenspitzen führen und Analysten mit Tausenden irrelevanter Alarme überfordern.

Ein weiteres Problem sind die Protokolltiefe und Flexibilität. Moderne Cloud-Dienste wie Azure AD aktualisieren häufig die Parameter ihrer Log-Signaturen, und statische Log-Sammler übersehen oft diese Änderungen – was zu blinden Flecken führt. In OT-Umgebungen erschweren proprietäre Protokolle wie Modbus oder BACnet die effektive Erkennung. Bis zu 30 % der Zeit eines SOC-Analysten gehen durch die Verfolgung von Fehlalarmen verloren, was auf einen Mangel an Kontext zurückzuführen ist. SIEMs können Logs korrelieren, aber sie „verstehen“ sie nicht. Ohne Verhaltensgrundlagen oder Asset-Kontext verpassen SIEMs entweder das Signal oder schlagen unnötig Alarm.

Während SaaS-basierte SIEMs als natürliche Weiterentwicklung vermarktet werden, erreichen sie in der Praxis oft nicht die Leistungsfähigkeit ihrer On-Prem-Vorgänger. Wichtige Lücken bestehen in unvollständigen Regelsets, Integrationen und Sensorunterstützung. Compliance-Probleme erhöhen die Komplexität, insbesondere für Finanz-, Industrie- oder öffentliche Sektororganisationen, bei denen die Datenresidenz nicht verhandelbar ist. Und dann sind da noch die Kosten. Im Gegensatz zu appliance-basierten Modellen mit festen Lizenzen berechnen SaaS-SIEMs nach Datenvolumen. Jeder Vorfallanstieg wird zu einem Abrechnungsanstieg – genau dann, wenn SOCs unter maximalem Stress stehen.

Moderne Erkennungsplattformen konzentrieren sich auf Metadatenanalyse und Verhaltensmodellierung anstatt auf die Skalierung der Log-Aufnahme. Netzwerkflüsse (NetFlow, IPFIX), DNS-Anfragen, Proxy-Verkehr und Authentifizierungsmuster können kritische Anomalien wie laterale Bewegungen, abnormalen Cloud-Zugriff oder kompromittierte Konten aufdecken, ohne die Nutzlasten zu inspizieren. Diese Plattformen arbeiten ohne Agenten, Sensoren oder gespiegelten Verkehr. Sie extrahieren und korrelieren bestehende Telemetrie und wenden adaptive maschinelles Lernen in Echtzeit an – ein Ansatz, der bereits von neueren, leichten Network Detection & Response (NDR)-Lösungen angenommen wird, die speziell für hybride IT- und OT-Umgebungen entwickelt wurden.

Der langsame Niedergang traditioneller SIEMs signalisiert die Notwendigkeit struktureller Veränderungen. Moderne SOCs sind modular aufgebaut, verteilen die Erkennung auf spezialisierte Systeme und entkoppeln die Analytik von zentralisierten Log-Architekturen. Durch die Integration von flussbasierter Erkennung und Verhaltensanalytik in den Stack gewinnen Organisationen sowohl an Resilienz als auch an Skalierbarkeit – was es Analysten ermöglicht, sich auf strategische Aufgaben wie Triage und Reaktion zu konzentrieren.

Der Erfolg liegt heute in einer intelligenteren Datenauswahl, kontextueller Verarbeitung und intelligenter Automatisierung. Metadatenanalytik, Verhaltensmodellierung und maschinelles Lernen-basierte Erkennung sind nicht nur technisch überlegen – sie repräsentieren ein neues Betriebsmodell für das SOC. Eines, das Analysten schützt, Ressourcen schont und Angreifer schneller aufdeckt – insbesondere, wenn es von modernen, SIEM-unabhängigen NDR-Plattformen unterstützt wird.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!