Awesome SOC

Ein operatives Handbuch und eine Wissensdatenbank zum Aufbau, Betrieb und zur Weiterentwicklung eines SOC (einschließlich CSIRT). Abgedeckt werden:

• SOC-Grundlagen
• Detection Engineering
• Threat Intelligence
• SOC-Metriken/KPI
• SOC-Automatisierung
• KI-Anwendungsfälle und Best Practices
• SOP (SOC-Playbooks)

Dies ist meine Sichtweise, basierend auf meiner eigenen Erfahrung als SOC/CSIRT-Analyst und Teamleiter sowie auf bekannten Publikationen. Der Schwerpunkt liegt eher auf dem SOC als auf CERT/CSIRT.

Mein Motto lautet: Ohne Reaktion (Response) ist Detection nutzlos.

Hinweis: Im Allgemeinen bezieht sich SOC hier auf die Detection-Aktivität und CERT/CSIRT auf die Incident-Response-Aktivität. CERT ist eine bekannte (ehemalige) US-Marke, verwaltet von CERT-CC, aber ich bevorzuge den Begriff CSIRT, da er sich präzise auf die Incident Response bezieht.

Inhaltsverzeichnis

• Pflichtlektüre
• Grundlegende Konzepte
• Missionskritische Mittel (Tools/Sensoren)
• SOC-Interna/Kern
• KI (ML, LLM, GenAI, Agentic AI)
• IT-/Security-Watch
• SOAR
• Detection Engineering
• Threat Intelligence
• Playbooks/SOP
• SOC-Metriken (KPI/SLA)
• SOC-Management
• HR und Schulung
• IT-Architektur
• Weiterführend (nächste Schritte)
• Anhang

Pflichtlektüre

Für ein SOC

• SOC-Aufbau:
  • MITRE, 11 strategies for a world-class SOC (oder lokale Datei verwenden): Teil 0 (Grundlagen).
  • FIRST, Building a SOC
  • NCSC, Building a SOC
  • Gartner, SOC model guide
  • Splunk, State of Security 2025
  • Microsoft, Secure your business with 365
• SOC-Schulung für Vorstellungsgespräche:
  • LetsDefend SOC analyst interview questions
• SOC-Management:
  • FIRST, ISO 27035 Practical value for CSIRT and SOCs
  • SANS, 2025 SOC survey
  • SOC CMM, SOC Metrics
  • Gartner, Market Guide for Managed Detection and Response
• SOC-Bewertung:
  • CMM, SOC-CMM
  • Rabobank CDC, DeTTECT
  • SANS, Continous purple teaming

Für ein CERT/CSIRT

• Gesamtüberblick:
  • SANS, Incident Response
  • FlexibleIR, IR phases
• CSIRT-Aufbau:
  • FIRST, CERT-in-a-box
  • FIRST, CSIRT Services Framework
• Management der Reaktion auf Sicherheitsvorfälle:
  • ENISA, Good practice for incident management
  • EE-ISAC Incident Response whitepaper
  • LinkedIn Pulse, Security incident management according to ISO 27035
  • Microsoft/EY/Edelman, Incident response reference guide
  • Microsoft, IR lessons on cloud ID compromise
• Forensik:
  • NIST, SP800-86, integration forensics techniques into IR
  • ForensicsArtefacts
  • ForensicsWiki
• Incident-Response-Playbooks & Methodik:
  • Kaspersky, Incident Response Playbook: Dark Web Breaches
  • CISA, Incident Response playbooks
  • CERT-SG, Incident Response Methodology