Splunk Security Operations: Wegweiser zum Erfolg

Seien wir ehrlich: SecOps zu betreiben ist in etwa so, als würden wir versuchen, aus einem Feuerwehrschlauch zu trinken und gleichzeitig mit verbundenen Augen mit Kettensägen jonglieren. Bedrohungen kennen keine Wochenenden, die Warnmeldungen nehmen kein Ende, und wenn man gerade denkt, jetzt hat man alles gesehen, wird garantiert ein neuer Angreifer kreativ. Hinzu kommt, dass wir gleichzeitig für die Bedürfnisse des Unternehmens und für die Betreuung eines Teams zuständig sind, das über die ganze Welt verstreut ist.

Angesichts dieser Vielzahl von Aspekten, die unserer Aufmerksamkeit bedürfen, ist es ein Leichtes, im Chaos das Wichtigste aus den Augen zu verlieren, nämlich die Fokussierung (und Neufokussierung) auf das Grundsätzliche. Jalen Hurts (Quarterback der Philadelphia Eagles) hat es auf den Punkt gebracht, als er sagte: Keep the main thing the main thing (Konzentriere dich auf das Wesentliche). Im Sicherheitsbereich bedeutet das, den Fokus gestochen scharf auf die Verteidigung des Unternehmens zu richten, ohne sich von Nebenschauplätzen aus dem Konzept bringen zu lassen.

Innerhalb von Splunk Global Security haben wir die Hauptprinzipien identifiziert, die es uns ermöglichen, uns auf das Wesentliche (Sicherheit) zu konzentrieren und mit Splunk weiterhin eine Vorreiterrolle im Sicherheitsbetrieb zu spielen:

1. Daten sind unser First-Class-Passagier

Unser Sicherheitsprogramm ist nur so gut wie die eingespeisten Daten. Wenn unsere Daten nichts taugen, taugen auch unsere Erkennungen nichts und unsere Reaktionszeiten sind ungefähr so schnell wie eine Schildkrötenfamilie, die sich im Winter einen Hang voller zähem Zuckersirup hinaufkämpft. Bei Splunk bekommen Daten die VIP-Behandlung, die sie verdienen. Alle aufgenommenen Daten sind sauber, strukturiert und belastbar.

2. Smarter arbeiten mit Automatisierung

Manuelle Prozesse verhindern schnelle Abläufe. Durch die Automatisierung wichtiger Workflows mit Splunk SOAR konnten wir die Zeit für die Triage einer Phishing-E-Mail auf unter sieben Minuten verkürzen. Das ist weniger Zeit, als für das Zubereiten von Popcorn in der Mikrowelle oder für eine Diskussion darüber draufgeht, wer (schon wieder) seine leere Kaffeetasse in der SOC-Spüle stehengelassen hat. Wenn das kein Argument für Automatisierung ist, was dann? Aber uns geht es nicht nur um Schnelligkeit. Dank Automatisierung können wir uns nämlich ganz auf die Dinge konzentrieren, die uns am wichtigsten sind. Wir sind für die Ausführung monotoner Routineaufgaben nicht mehr auf wertvolle Humanressourcen angewiesen und können die Effizienz auf vielfältige Weise steigern – von der automatischen Aktualisierung von Fallnotizen über eine maßgeschneiderte Slack-Integration bis hin zur automatischen Erstellung der Struktur für die Abwicklung von Incidents ganz ohne menschliches Eingreifen. Wir sind immer auf der Suche nach neuen Möglichkeiten.

3. Operative Probleme in messbare Ergebnisse verwandeln

Betriebsleiter, egal in welchem Bereich, sind immer mit einer schier endlosen Liste von Problemen konfrontiert.  Von Over-Alerting über eine ausufernde Datenlandschaft bis hin zu Abweichungen im Betriebsablauf und Problemen mit der Service-Qualität – die Liste ließe sich endlos fortsetzen. Aber was tut ihr dagegen?  Jedes Problem birgt auch eine Chance, die nur darauf wartet, entdeckt zu werden.  Indem wir uns auf die Probleme konzentrieren, erlauben wir uns, den Fokus gestochen scharf auf wertorientierte Ergebnisse zu legen.  Und wir belassen es nicht bei Worten. Unsere Qualitätsanforderung verlangt eine permanente Erfolgsmessung – nicht nur bei der Bereitstellung, sondern während des gesamten Lebenszyklus unserer Lösungen. 

4. Wir nutzen die eigenen Produkte als „Kunde Null“

Bei Splunk entwickeln wir nicht nur Sicherheitsprodukte, wir setzen sie auch selbst ein. Wir bezeichnen diese Praxis als „Kunde Null“: Die Global Security Operations (GSO) von Splunk prüfen unsere Technologie auf Herz und Nieren – genau wie jeder andere Kunde. Wir bringen unsere Erfahrung aus der Sicherheitspraxis ein, um in enger Zusammenarbeit mit unseren Produktteams reales Echtzeit-Feedback aus der Produktionsumgebung zu liefern. Dieses Feedback ist hilfreich beim Gestalten von Funktionen, bei der Verbesserung der Benutzerfreundlichkeit und schließlich, um den Bedürfnissen der gesamten Sicherheits-Community gerecht zu werden. Wir sind sehr stolz darauf, unseren Service genauso aufzubauen wie jeder andere Kunde – keine geheimen Absprachen oder Nebenabreden –, sondern nur ein Team, das das beste Produkt der Welt nutzt, um reale Probleme zu lösen. Wir machen die gleichen Erfahrungen wie ihr und setzen sie für Produktverbesserungen ein – was für uns funktioniert, funktioniert für euch erst recht.

5. Wir bringen das Unternehmen voran (das solltet ihr auch tun)

Security Operations sind nicht nur dafür da, Bedrohungen zu stoppen. Vielmehr sollte der Sicherheitsbereich dem Unternehmen als Ganzes dienen und auch geschäftlichen Nutzen bringen. Dieser Aspekt wird leider allzu oft vergessen oder heruntergespielt. Das Unternehmen voranbringen bedeutet bei Splunk Operations:

• Stakeholder-Beziehungen stärken: Starke Teams arbeiten nicht isoliert. Wir arbeiten eng mit der IT, der Rechtsabteilung, dem Engineering und der Führungsspitze des Cybersicherheitsbereichs zusammen, um eine einheitliche Sicherheitsstrategie zu entwickeln.
• Playbooks teilen: Wir stellen Frameworks und Methoden als Open Source zur Verfügung, damit Kunden unseren Erfolg nachahmen können.
• Hospitation: Mitglieder anderer Teams dürfen uns im Sicherheitsbereich über die Schulter schauen, um ein bereichsübergreifendes Bewusstsein und Denken zu fördern.
• Kontinuierliche Verbesserung: Wir fragen uns immer wieder: Tun wir wirklich das Richtige, und nicht nur das, was wir können?
• In die Entwicklung der Analysten investieren: Wir fördern SOC-Analysten, indem wir sie ermuntern, Verantwortung für ihre Arbeit zu übernehmen, zu Programmverbesserungen beizutragen und kontinuierlich zu lernen.

Abschließende Bemerkungen

Für Splunk Global Security geht es bei der Verteidigung von Splunk nicht nur darum, Splunk zu schützen. Wenn wir ein global operierendes Unternehmen mit einem Sicherheitsteam verteidigen können, das von Koffein, kontinuierlicher Verbesserung und Authentizität angetrieben wird – dann könnt ihr das auch.

So geht es weiter: Werdet zu „Kunde Null“

In diesem Blog ging es darum, wie wir fokussiert bleiben, Sicherheit in den Mittelpunkt stellen und nach Belieben skalieren. Die Möglichkeiten sind damit jedoch längst noch nicht ausgeschöpft. In den kommenden Beiträgen nehmen wir euch mit hinter die Kulissen und zeigen euch, wie Splunk Global Operations die Funktion des „Kunden Null“ ausfüllt. Dies ist einer der Faktoren, der uns auch weiterhin eine Vorreiterrolle im Sicherheitsbetrieb ermöglicht – und damit auch euch.