Secunet Security Networks Ag · XETR:YSN
Secunet Security Networks — it-sa 2022
34 slides from Secunet Security Networks's conference presentation, Sep 29, 2022
Slide 1: Angriffserkennung gemäß BSI-Orientierungshilfe – Was ist zu tun?
Angriffserkennung gemäß BSI- Orientierungshilfe – Was ist zu tun? Joachim Cappel Principal Managementsysteme & Audits secunet Security Networks AG 29.09.2022 | Angriffserkennung gemäß BSI-Orientierungshilfe – Was ist zu tun?
Slide 2: Agenda
Agenda 01 Überblick: gesetzliche Vorgaben und Orientierungshilfe 02 ISO/IEC 27002:2022 – Was hat sich geändert? 03 Wichtige Begriffe und deren Zusammenhang 04 Praktische Umsetzung 2 29.09.2022 | Angriffserkennung gemäß BSI-Orientierungshilfe – Was ist zu tun?
Slide 3: Überblick: gesetzliche Vorgaben und Orientierungshilfe
01 Überblick: gesetzliche Vorgaben und Orientierungshilfe 3 29.09.2022 | Angriffserkennung gemäß BSI-Orientierungshilfe – Was ist zu tun?
Slide 4: Massive Cyberangriffe auf deutsche Unternehmen
Massive Cyberangriffe auf deutsche Unternehmen 203 Mrd. 9 von 10 51 % Euro Schaden Unternehmen werden der betroffenen pro Jahr durch Angriffe auf Opfer von Unternehmen wurden in deutsche Unternehmen Datendiebstahl, 2021 aus dem Bereich des Spionage oder organisierten Verbrechens Sabotage und Banden
Slide 5: Gesetzliche Anforderungen
Gesetzliche Anforderungen BSIG § 8a (1a) „Die Verpflichtung nach Absatz 1 Satz 1, angemessene organisatorische und technische Vorkehrungen zu treffen, umfasst ab dem 1. Mai 2023 auch den Einsatz von Systemen zur Angriffserkennung. Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Param
Slide 6: Gesetzliche Grundlage verändert sich
Gesetzliche Grundlage verändert sich Das neue IT-Sicherheitsgesetz § 8a Absatz 1a Satz 1 BSIG: „Die Verpflichtung nach Absatz 1 Satz 1, angemessene organisatorische und technische Vorkehrungen zu treffen, umfasst ab dem 1. Mai 2023 auch den Einsatz von Systemen zur Angriffserkennung.“ Ab wann? Was g
Slide 7: Orientierungshilfe des BSI
Orientierungshilfe des BSI Steckt den Rahmen ab, keine konkreten technischen Anforderungen Aber auditierbare Anforderungen im Sinne einer Prüf-/Checkliste MUSS, SOLLTE, KANN Anforderungen Gestaltungsspielraum bei der praktischen Umsetzung SIEM ist nicht verpflichtend (in IT-Umgebungen wird
Slide 8: Orientierungshilfe des BSI
Orientierungshilfe des BSI Protokollierung Detektion Reaktion Umsetzung aller Basisanforderungen von Umsetzung aller Basisanforderungen von Umsetzung aller Basisanforderungen von OPS.1.1.5 Protokollierung DER.1 Detektion von sicherheitsrelevanten DER.2.1 Behandlung von Ereignissen Sicherheitsvorfäll
Slide 9: Orientierungshilfe des BSI - Reifegradmodell
Orientierungshilfe des BSI - Reifegradmodell 0 Es sind bisher keine Anforderungen umgesetzt und es bestehen auch keine Planungen zur Umsetzung von Anforderungen. 1 Es bestehen Planungen zur Umsetzung von Anforderungen, jedoch für mindestens einen Bereich noch keine konkreten Umsetzungen. 2 In allen
Slide 10: ISO/IEC 27002:2022 – Was hat sich geändert?
02 ISO/IEC 27002:2022 – Was hat sich geändert? 10 29.09.2022 | Angriffserkennung gemäß BSI-Orientierungshilfe – Was ist zu tun?
Slide 11: ISO/IEC 27002:2022 – Was hat sich geändert?
ISO/IEC 27002:2022 – Was hat sich geändert? ISO/IEC 27002:2013 wurde zurückgezogen ISO/IEC 27002:2022 wurde veröffentlicht (15.02.2022 – aktualisiert 21.03.2022) Breiter Fokus spiegelt sich im Titel der Norm “Information technology — Security techniques — Code of practice for information secur
Slide 12: Aufbau der neuen ISO27001:2022
Aufbau der neuen ISO27001:2022 Kapitel 4 bis 10 ISO 27001 Annex A der ISO27001:2022 A.5 bis A.8 4. Kontext der Organisation 5. Führung A.5 Organizational controls 6. Planung A.5.1 – A.5.37 7. Unterstützung A.6 People controls 8. Betrieb A.6.1 – A.6.8 9. Bewertung der Leistung A.7 Physical controls 1
Slide 13: Neue ISO 27002 – Organisational Controls (5)
Neue ISO 27002 – Organisational Controls (5) 5.24 Information security incident management planning and preparation Planung und Vorbereitung von Informationssicherheitsvorfällen, indem Prozesse, Rollen und Verantwortlichkeiten definiert und eingeführt werden => schnelle, effektive und ordnungsgemä
Slide 14: Neue ISO 27002 – People Controls (6) und Physical Controls (7)
Neue ISO 27002 – People Controls (6) Neue ISO 27002 – Physical Controls (7) 6.8 Information Security Event Reporting Mechanismus vorsehen, der es den Mitarbeitern ermöglicht Vorfälle über geeignete Kanäle zu melden => unterstützt rechtzeitige, konsistente und effektive Meldung von Ereignissen Möglic
Slide 15: Neue ISO 27002 – Technological Controls (8)
Neue ISO 27002 – Technological Controls (8) 8.15 Logging Logs, die Aktivitäten, Fehler und relevante Ereignisse aufzeichnen sollten erstellt, gespeichert, geschützt und ausgewertet werden Aufzeichnung von Ereignissen, Identifizieren von Informationssicherheitsereignissen und Unterstützung von Un
Slide 16: Wichtige Begriffe und deren Zusammenhang
03 Wichtige Begriffe und deren Zusammenhang 16 29.09.2022 | Angriffserkennung gemäß BSI-Orientierungshilfe – Was ist zu tun?
Slide 17: Begriffe
Begriffe SIEM – Security Information and Event Management: IT-System/Softwareprodukt, das SIM (Sammeln von Log-Dateien) und SEM (Korrelation und Auswertung von Log- Dateien) vereint. SIEM Systeme werden eingesetzt, um sicherheitsrelevante Ereignisse zu identifizieren, zu bewerten und den Adminis
Slide 18: Begriffe
Begriffe IDS – Intrusion-Detection-System: Werkzeug, welches sicherheitsrelevante Ereignisse system- oder netzwerkbasiert erkennt und deren Auswertung, Eskalation und Dokumentation unterstützt. Die Detektion von sicherheitsrelevanten Ereignissen kann musterbasiert / signaturbasiert und/oder anom
Slide 19: Technologien zur Angriffserkennung
Technologien zur Angriffserkennung Hinweis: IDS Systeme können unter bestimmten Voraussetzungen die Daten werden aggregiert > normalisiert > Funktion eines SIEM in gefiltert > korreliert nach definierten Regeln SIEM der OT übernehmen. Überwachung von Aktivitäten im Netzwerk & Netzwerkknoten > IP Adr
Slide 20: SIEM & SOC
SIEM & SOC Windows event logs Perimeter device logs Security Endpoint logs Information & Event Application logs Management (SIEM) Proxy logs Security Operation Center ICS logs 20 29.09.2022 | Angriffserkennung gemäß BSI-Orientierungshilfe – Was ist zu tun?
Slide 21: Praktische Umsetzung
04 Praktische Umsetzung 21 29.09.2022 | Angriffserkennung gemäß BSI-Orientierungshilfe – Was ist zu tun?
Slide 22: Ausbaustufen der IT / OT Security
Ausbaustufen der IT / OT Security Security Operation Center (SOC) Aggregation, Korrelation von Logs Human / Threat Intelligence 24/7/365 Monitoring Incident Detection Die Basis Sicherheit ist ein Prävention and Response Standard, der in den meisten Endpoint Detection Forensic Unternehmen
Slide 23: Grundlagen: Security Operations Center
Grundlagen: Security Operations Center Aufbauorganisation Ablauforganisation Werkzeuge Welche Aufgaben werden bereits Gibt es bereits Prozesse, die in Existieren bereits Werkzeuge zum durch die bestehende Verbindung mit dem SOC Monitoring der Organisation abgedeckt? existieren bzw. Aufgaben vo
Slide 24: Aufbau und Abhängigkeit eines SOC
Aufbau und Abhängigkeit eines SOC Menschen Technologien Prozesse Management Firewalls Analyse & Auswertung Security Architect Endpoints Threat Intelligence Security Engineers Netzwerk Monitoring Incident Response Forensiker Web und Email Verkehr Triage Analysten Logserver Trainings & SIEM Weiterbild
Slide 25: Mögliche SOC Betriebsmodelle
Mögliche SOC Betriebsmodelle Zentrale Instanz - Intern Kompletter Logs & Eigenbetrieb Events SIEM SOC Zentrale Instanz - Intern Extern Mischbetrieb mit Logs & hohen Eigenanteil Events SIEM SOC SOC Zentrale Instanz - Intern Extern Mischbetrieb mit Logs & hohen Fremdanteil Events SIEM SOC Zentrale Ins
Slide 26: Rollenverteilung des SOC
ManagementRollenverteilung des SOC Geschäftsführung SOC Leitung ISB DSB Rechtsabteilung Service Level Management Service Reporting Eskalation Compliance Emergency Security Architect Threat Intelligence Security Analyst Operativer Response Betrieb IT/OT Betrieb Admin & Threat Threat Incident Incident
Slide 27: Generischer Ablauf einer Vorfallbehandlung
Generischer Ablauf einer Vorfallbehandlung ! Aktive Bewertung Vorbereitung Erkennung („Triage“) auf Vorfälle & Meldung & Priorisierung Ereignis / Vorfall „Incident ausrufen“ Beweise archivieren Vorgehen Beweismittel planen sichern Debriefing & Prävention & „Incident Nach- Verbesserung beenden“ berei
Slide 28: Orientierungshilfe des BSI - Reifegradmodell
Orientierungshilfe des BSI - Reifegradmodell 0 Es sind bisher keine Anforderungen umgesetzt und es bestehen auch keine Planungen zur Umsetzung von Anforderungen. 1 Es bestehen Planungen zur Umsetzung von Anforderungen, jedoch für mindestens einen Bereich noch keine konkreten Umsetzungen. 2 In allen
Slide 29: secunet monitor KRITIS
secunet monitor KRITIS Die einfache Lösung zur Angriffserkennung optimiert für KRITIS-Betreiber! Netzwerk-Monitoring-System auf Basis signaturbasierter Angriffserkennung: MUSS-Anforderung laut BSI-Orientierungshilfe zum IT-Sicherheitsgesetz 2.0 passives und rückwirkungsfreies System in IT & OT
Slide 30: secunet monitor KRITIS
secunet monitor KRITIS Events, Logs, Feeds Statistiken Sensoren IT/OT r r Zusätzliche Infos Core-System Datenverarbeitung Management Status-App Übersicht *Darstellung Stand Sept. 2022 C-Level Übersicht Meldung & Bearbeitung 30 29.09.2022 | Angriffserkennung gemäß BSI-Orientierungshilfe – Was ist zu
Slide 31: secunet monitor KRITIS auf einen Blick
secunet monitor KRITIS auf einen Blick Professionelle Beratung Benutzerfreundlichkeit Wir unterstützen KRITIS-Betreiber Getrennte Status- & Management- individuell & lösungsorientiert bei der Oberfläche mit intuitiver und Gesetzeskonformität; Beratung bei komplexitätsreduzierender BSI-Audits Handhab
Slide 32: Kontakt
Kontakt Joachim Cappel Steffen Heyde Principal Managementsysteme & Audits (Beratung) Leiter Marktsegmente (Vertrieb) secunet Security Networks AG secunet Security Networks AG [email protected] [email protected] 32
Slide 33: it-sa 2022 in Nürnberg
it-sa 2022 in Nürnberg 33 29.09.2022 | Angriffserkennung gemäß BSI-Orientierungshilfe – Was ist zu tun?
Slide 34: secunet
secunet