Zum Inhalt springen
BigTree108

SOC as a Service und Security-Monitoring

SOC as a Service und Security-Monitoring: ein Managed SOC für die Stunden, die Sie wählen, SIEM-Einführung und -Migration, Anbindung von Logquellen, Detection Engineering, EDR- und XDR-Betrieb, Incident-Response-Retainer, Schwachstellenmanagement, Automatisierung der Reaktion und Threat Hunting, mit dedizierten SOC-Analysten und Detection-Engineers für Ihr Team.

Security-Operations-Leistungen, die wir anbieten

  • Managed SOC

    Alarme aus Ihrem SIEM und EDR, von Analysten während Ihrer Arbeitszeiten oder rund um die Uhr triagiert, bestätigte Vorfälle, die innerhalb vereinbarter Reaktionszeiten an Ihre Rufbereitschaft eskaliert werden, und ein Monatsbericht darüber, was gesehen, was geschlossen und welche Erkennungen abgestimmt wurden.

  • SIEM-Einführung und -Migration

    Microsoft Sentinel im Defender-Portal, Splunk Enterprise Security, Elastic Security, Google Security Operations oder Wazuh, eingerichtet mit Aufbewahrungs-, Zugriffs- und Kostengrenzen, die geplant werden, bevor Daten eintreffen, sowie Migrationen zwischen SIEMs, bei denen jede Erkennung auf der neuen Plattform neu aufgebaut und getestet wird, bevor die alte abgeschaltet wird.

  • Anbindung von Logquellen

    Cloud-Auditlogs, Anmeldungen aus Entra ID und Okta, Aktivitäten in Microsoft 365 und Google Workspace, Firewalls, EDR und Ihre eigenen Anwendungen, geparst in ein einheitliches Schema wie ASIM, ECS oder OCSF, wobei Cribl oder die eigene Pipeline des SIEM Rauschen aussortiert, bevor es abgerechnet wird.

  • Detection Engineering

    Erkennungsregeln, als Code in Git verwaltet, geschrieben in Sigma oder direkt in KQL, SPL oder ES|QL, auf MITRE ATT&CK abgebildet, vor dem Release mit Atomic Red Team gegen simulierte Angriffe getestet und abgestimmt, bis Analysten dem vertrauen, was ausgelöst wird.

  • EDR- und XDR-Betrieb

    Microsoft Defender for Endpoint, CrowdStrike Falcon oder SentinelOne, auf jedem Server und Laptop mit aktiviertem Manipulationsschutz ausgerollt, kurz gehaltene und geprüfte Ausnahmen und Geräte, die aus der Konsole isoliert werden, sobald eine Kompromittierung bestätigt ist.

  • Incident-Response-Retainer

    Bedingungen, die vereinbart werden, bevor etwas passiert: Kontakte, Zugriff, Umgang mit Beweismitteln und die Zeiten, in denen wir antworten. Kommt es zu einem Vorfall, folgen Eindämmung, forensische Sicherung mit Velociraptor, Beseitigung und ein schriftlicher Bericht, und Stunden, die nicht für Vorfälle gebraucht werden, fließen in Vorsorge wie die Prüfung von Playbooks und Reaktionsübungen.

  • Schwachstellenmanagement

    Server, Container, Laptops und Cloud-Ressourcen, gescannt mit Tenable, Qualys, Rapid7 oder Microsoft Defender Vulnerability Management, Findings nach Ausnutzbarkeit mit EPSS und dem Katalog der Known Exploited Vulnerabilities der CISA geordnet und Behebungsfristen pro Schweregrad, die gemeinsam mit dem verantwortlichen Team bis zum Abschluss verfolgt werden.

  • SOAR und Automatisierung der Reaktion

    Automatisierungsregeln und Logic-Apps-Playbooks von Sentinel, Splunk SOAR, Tines oder Torq, die jeden Alarm anreichern, das Ticket öffnen und die richtige Person alarmieren, wobei Schritte, die ein Konto deaktivieren oder ein Gerät isolieren, auf die Freigabe eines Analysten warten.

  • Threat Hunting

    Hunts, die von einer Hypothese, einem neuen Threat Report oder einer ATT&CK-Technik ausgehen, die Ihre Erkennungen noch nicht abdecken, über Monate aufbewahrter Logs durchgeführt, jeder mit einer neuen Erkennungsregel oder einer schriftlichen Notiz als Ergebnis, warum die Hypothese nicht zutraf.

SOC-Analysten und Detection-Engineers einstellen

  • Dedizierte SOC-Analysten und Detection-Engineers

    SOC-Analysten und Detection-Engineers, die in Vollzeit zu Ihrem Team gehören, in Ihren Tools und Ihrem Prozess arbeiten und an Ihren Lead berichten. Sie führen die Interviews; wir tragen den ukrainischen Vertrag, die Gehaltsabrechnung, die Rechnungsstellung und den Urlaub.

  • Projekte im Bereich Security Operations

    Ein abgegrenztes Arbeitspaket im Bereich Security Operations mit festem Umfang, festem Plan und einem benannten Verantwortlichen auf unserer Seite, der das Ergebnis verantwortet und den Fortschritt in Ihren Kanälen berichtet.

  • Security Operations als laufender Service

    Security Operations als fortlaufende Leistung: jeden Monat dieselben Personen, ein Backlog, das Sie priorisieren, und Stunden, die Sie in unserem Portal und auf der Rechnung einsehen können.

Die Seite zum dedizierten Team erklärt, wie Spezialisten zu Ihrem Team stoßen, und die Seite zum Outsourcing behandelt Projektlieferung, Übernahmen und unsere Abrechnung.

Wer sich bei Ihnen um Security Operations kümmert

  • SOC-Analysten

    Alarm-Triage und Eskalation, First und Second Level

  • Detection-Engineers

    Regeln als Code, Tuning und Angriffssimulation

  • SIEM-Engineers

    Plattform-Setup, Log-Pipelines und Ingestion-Kosten

  • Incident Responder

    Eindämmung, Forensik und Vorfallberichte

  • Threat Hunter

    Hypothesengeleitete Hunts über aufbewahrte Logs

Wie wir Security Operations betreiben

Bevor das Monitoring beginnt, vereinbaren wir, was abgedeckt ist, die Zeiten, die Reaktionszeit für jeden Schweregrad und wer in Ihrem Team wofür angerufen wird. Für jeden Alarmtyp gibt es ein Runbook, jede Eskalation wird in Ihrem Ticketsystem festgehalten, und Analysten arbeiten über namentliche Konten mit nur dem Zugriff, den die Triage braucht, sodass ihre eigenen Aktionen im Auditlog erscheinen.

Erkennungen werden wie Code behandelt: versioniert, geprüft, gegen simulierte Angriffe getestet und daran gemessen, wie oft sie grundlos auslösen. Erkenntnisse aus Penetrationstests und Vorfällen kommen als neue Regeln zurück, sodass dieselbe Technik beim nächsten Mal erkannt wird. Unsere eigenen Geräte überwachen wir genauso: Unsere Laptops werden von einem in Rust geschriebenen Agenten gegen unsere Sicherheitsbasis geprüft, unter Windows, macOS und Ubuntu, mit Prüfungen, die ISO 27001, CIS, Cyber Essentials, Essential Eight und SOC 2 zugeordnet sind.

Weitere Leistungen in Cloud, DevOps und Sicherheit

Übersicht über Cloud, DevOps und Sicherheit

Fragen zu SOC und Security-Monitoring

In welchen Branchen arbeiten Ihre SOC-Analysten?

Überwiegend Cybersicherheitsunternehmen, bei Managed-Detection-Services und den Erkennungsinhalten in ihren Produkten; Fintech, Banking und Versicherung, wo Monitoring und Vorfallmeldungen nach DORA und PCI DSS regulatorische Pflichten sind; Industrie- und Energieunternehmen, die Büro- und Anlagennetze überwachen; E-Commerce, der Kundenkonten vor Übernahme und Betrug schützt; SaaS-Unternehmen, deren Kunden laufendes Monitoring erwarten; sowie Hosting- und Telekommunikationsanbieter und Systeme des öffentlichen Sektors.

Überwachen Sie rund um die Uhr?

Ja, wenn Sie es brauchen: Geschäftszeiten in Ihrer Zeitzone, erweiterte Zeiten oder 24/7-Abdeckung im Schichtplan, vereinbart, bevor das Monitoring beginnt. Jede Option kommt mit schriftlichen Reaktionszeiten je Schweregrad und einem benannten Eskalationsweg in Ihr Team.

Können Sie mit dem SIEM und EDR arbeiten, die wir bereits haben?

Ja. Die meisten Engagements laufen auf dem eigenen Microsoft Sentinel, Splunk, Elastic, Google Security Operations oder Wazuh des Kunden und dem bereits ausgerollten EDR, sodass die Daten in Ihrem Tenant und unter Ihren Lizenzen bleiben. Analysten melden sich über Konten an, die Sie ausstellen und widerrufen können.

Was passiert, wenn ein Analyst einen echten Vorfall findet?

Der Analyst bestätigt ihn, ruft Ihren benannten Ansprechpartner innerhalb der vereinbarten Reaktionszeit an und dämmt ihn ein, soweit Sie das vorab genehmigt haben: ein deaktiviertes Konto, ein isoliertes Gerät, ein widerrufenes Token. Danach sichern Incident Responder Beweise, finden die Grundursache und schreiben den Bericht, einschließlich dessen, was Aufsichtsbehörden und Kunden mitgeteilt werden muss und bis wann.

Wie schnell können SOC-Analysten und Detection-Engineers starten?

Steht für die Position SOC-Analyst eine passende Person zur Verfügung, hängt der Start nur von Ihrem Interview sowie von NDA und IP-Übertragung ab. Andernfalls starten wir eine Suche, die typischerweise innerhalb von zwei bis drei Wochen Kandidatenprofile liefert, und niemand beginnt, bevor Sie zugestimmt haben.

Wie stellen wir SOC-Analysten und Detection-Engineers über BigTree108 ein?

Nennen Sie uns die Aufgabe, die Seniorität und die benötigten Stunden. Wir schlagen ein oder zwei Personen mit ihren Profilen vor, Sie führen die Interviews so, wie Sie Ihre eigene Neueinstellung interviewen würden, unterzeichnen einen Vertrag mit BIG TREE 108 LLC und erhalten eine Rechnung im Monat.

Wem gehören die Arbeitsergebnisse?

Sie. Jeder Spezialist hat einen unterzeichneten Vertrag mit BigTree108, der alle Arbeitsergebnisse dem Unternehmen überträgt, und unser Vertrag mit Ihnen überträgt sie an Sie weiter. Code, Designs und Dokumente werden in Ihre eigenen Repositories und Tools geliefert und nicht dort aufbewahrt, wo nur wir sie ändern können.

Benötigen Sie ein SOC oder Security-Monitoring?

Sagen Sie uns, was Sie betreiben, welche Security-Tools Sie haben und welche Zeiten abgedeckt sein sollen. Sie erhalten innerhalb eines Werktags eine Antwort: einen Vorschlag zur Abdeckung, einen Plan für Ihr SIEM oder Kandidatenprofile.

E-Mail an hello@bigtree108.comSo antworten wir